サポート » 使い方全般 » ホルダのセキュリティ設定とプラグインの選び方

  • 解決済 nobita

    (@nobita)


    こんにちは、ワードプレスすこしづつ、勉強しながら使わせていただいています。

    やや、硬い質問なのかもしれませんが、アドバイスを期待しています。

    2.7から(?)、FTPしなくても、プラグインを検索して、自動的にインストール出来るようになり、興味のあるプラグインを、気軽に使ってみる事ができるようになり、手放せない感が日々増大しています。
     そのような中で、少し不安になるような事柄も発見するようになりました。

    例えば、以下のような事例です。wp-dbmanager というプラグインの場合。

    このプラグインは、データベースのバックアップを作成してくれるプラグインなのですが、wp-content直下のbuckup-dbディレクトリにバックアップファイルを保存してくれます。

    このファイルは、以下のように命名されるようです。

    ### Backup File Name
    $backup['filename'] = $backup['date'].'_-_'.DB_NAME.'.sql';

    データベースを見たからといって、すぐに、パスワードがわかるわけでもなく、不正にログインされたり、知らないうちにページが作れるわけでもありませんが、ID一覧やメールアドレスを持っていかれるのは困ります。

    データベースバックアッププラグインは、それが、wordpressで使っていないテーブルでも、ダンプします。(あくまで、エンドユーザの個別の環境問題ですが、)

    このような、ちょっと不安な事柄を解決する方法について、
    フォーラムの過去記事を見てみても、効果の薄い対策や、プラグインを疑問視する声も見られます。

    wp-contentディレクトリのアクセス制限についてにお伺いしたいのですが、
    (今のところ、backup-dbについて、.htaccessで、Order deny,allow deny from all していますが)

    このように、より簡単にプラグインのインストールが出来る環境が整ってきている中で、いろんなプラグインを試す事ができるように、より、汎用的なせっていとして
    wp-contentに対するアクセスも、何らかの制限をしておくべきなのではないだろうかと考えますが、皆さんは、どうおもいますか? やっておくべき設定等を、出来れば具体的に、助言いただきたくお願いします。

    また、プラグインを信頼できるかどうか、どんな方法で評価していますか?教えていただけると助かります。

    参考にした話題や、気になった声:
    http://ja.forums.wordpress.org/topic/408(インストール後安全のために必要な事)

    巷にあふれている対策は、作業コストに対する効果が不明なものが多く、意味がない場合も多いです。

    http://ja.forums.wordpress.org/topic/354?replies=15#post-1707

    WordPress のセキュリティーですが、基本的には「WordPress コアは常に最新にする」「プラグインを極力入れない」でしょう。はっきり言うと、WordPress は開発者自身がセキュリティーに少し甘く、セキュアな設計になってないため、ユーザーががんばっても限界があります。

2件の返信を表示中 - 1 - 2件目 (全2件中)
  • モデレーター IKEDA Yuriko

    (@lilyfan)

    wp-contentディレクトリのアクセス制限についてにお伺いしたいのですが、
    (今のところ、backup-dbについて、.htaccessで、Order deny,allow deny from all していますが)

    この対策は好ましいですね。プラグインをいじらない方法としてはベターなものだと思います。

    正直なところ、データベースのバックアップを取るならば、ウェブサーバーの DocumentRoot (世界中に公開するディレクトリーの最上位) 配下ではない場所に置くべきです。つまり、wp-content 配下は、お察しの通りまずいです。
    プラグインの設定パネルで、サーバー上の適切なパスを指定できればよいのですが、そうなっていないならば「設計が悪い」と思います (動作を確認してないので、あやふやな言い方にとどめます)。

    また、プラグインを信頼できるかどうか、どんな方法で評価していますか?教えていただけると助かります。

    プラグインが信頼できるかどうか不明ならば、いきなり zip ファイルによるインストールは使ってはいけませんね。ローカルに zip ファイルをダウンロードして、展開して中身をチェックすることが必須だと思います。

    まずは、ドキュメントをみます。マトモなプラグインは、ある程度ドキュメントがしっかりしています (信頼できるプラグインでもドキュメントが未整備なことがありますが)。

    次はソースを確認です。変数の初期化をしっかりしているか、画面の出力時に HTML エスケープをきっちりしているか、DB へのアクセス時に DB エスケープをしているかなどがポイントです。

    ソースの書き方が不自然だったり、やたら読みにくかったら、「やばい」と思った方がいいです。まして、gzinflate(base64_decode(.....)) とか使って難読化しているものは「危険」と判断した方がよいでしょう。

    プラグインやテーマは PHP ファイルですから、悪意あるコードがあれば、どんなまずい動作でも可能になります。ですので、信頼できないプラグインについては、インストール前の確認を行うのが好ましいです。

    個人的には、zip ファイルを指定して直接インストールする機構を作るならば、署名ずみの zip ファイルのみを対象とすべきだと思います。そして、WordPress 公式ディレクトリーの運営者が、動作確認したプラグインには zip ファイルに署名を付与すればよいです。

    Firefox のアドオンは、そういう仕組みがあったりしますよね (といっても、未署名のアドオンが多数ですが……)。
    WordPress も、プラグイン配布サイトを https にして、プラグインの署名機構をつければ、もっと安全に使えるようになると思います。そういう考えはあるのかもしれませんが、人力が必要なので、なかなかやりにくいとは思いますが。

    トピック投稿者 nobita

    (@nobita)

    プラグインの設定パネルで、サーバー上の適切なパスを指定できればよいのですが、そうなっていないならば「設計が悪い」と思います

    Database Options に Path To Backup:という項目があり、保存する場所は変更できるようになってはいます。作成者のWEBサイトにはサポートフォーラムもあり、継続して、配布している様子です。

    このプラグインの評価はさて置き、WordPress plugin directory から直接インストールした、プラグインの中には、動作しないばかりではなく、たぶんエラーで、ブログ自体が表示できなくなるようなものもありました。(このバージョンではテストしてないよ。というメッセージはたぶん出ていたと思います。)

    テスト的な作業なので、FTPで、プラグインを削除して終わりました。

    WEB上にあるものをサーバで受け取って、削除というのは自分で何もかも、わからなくする行為なわけで、後で不具合が見つかったときには、原因なんかわかりませんよね。

    WordPress も、プラグイン配布サイトを https にして、プラグインの署名機構をつければ、もっと安全に使えるようになると思います。そういう考えはあるのかもしれませんが、人力が必要なので、なかなかやりにくいとは思いますが。

    理想論を掲げるつもりは、私も ない のですが、「楽が出来る環境があると楽な方法にいってしまう。性格なので、、、」
    なんか、「楽をしてもいい理由付け」が出来ればうれしい と思った次第です。 

    「ポン」と手を打てるような企みが出てくるまで、DBのバックアップは、Cron でやりたいと思います。

    ありがとうございました。

2件の返信を表示中 - 1 - 2件目 (全2件中)
  • トピック「ホルダのセキュリティ設定とプラグインの選び方」には新たに返信することはできません。