- - PR -
レンタルサーバ(web)のセキュリティについて
| 投稿者 | 投稿内容 | ||||
|---|---|---|---|---|---|
|
投稿日時: 2005-08-20 09:34
沢山のレスありがとうございます。
◆冬寂さまへ > .htpasswdって、平文で保存されていましたっけ？ > それに、普通所有権で分かれるから、見れたとしても変更とかは出来ないのでは？ データベースに接続するアカウントもスクリプトに書かれていると思いますが、 それも同様に閲覧されても仕方ないとのことでしょうか？ > １ユーザとしてはそれ以上どうしようもないし、本当に危ないと思ったらもっと安全な所を借りればいいというだけでは？ そうですね。ごもっともだと思います。 最終的にはそうするつもりですが、知識のある皆様のこの件についてのご意見もお聞きしたいと思って投稿させて頂いております。 ◆angelさまへ（１つ目） > ただ、厳格にパーミッション管理しているサーバを見た経験が少ないというのも事実でして、そういう意味では「普通」かな、と思います。 普通ですか。この業者が特別ではないのですか。。 ◆あんとれさまへ > ホームディレクトリのパーミッションを751にしてしまえばよいのではないでしょうか。 > これでホームディレクトリ上にどのようなファイルやサブディレクトリが置かれているかは分からなくなると思いますが。 パーミッションの変更はでき、ホームディレクトリ内のファイルやサブディレクトリをわからなくすることはできました。 ただ、ドキュメントルートも同様にすると、その他に読み取り権限が無いのでページが表示できなくなり困ります。 ◆angelさまへ（２つ目） > これは、「ホームディレクトリ」ではなく、Webサーバの「ドキュメントルート」ではないのでしょうか? > 「１ユーザーで複数ドメインの管理が可能です。」という説明とあわせますと。 以下のようになっております。 user001というユーザーがまず発行されます。 このIDがこのレンタルサーバのサービスのアカウントとなります。 ドメインを増やすたびに以下のように子ユーザー（？）が発行されます。 ・ホームディレクトリ /home/user001001/hoge.com/userhome /home/user001002/hoge2.com/userhome ・ドキュメントルート /home/user001001/hoge.com/documentroot /home/user001002/hoge2.com/documentroot 「/etc/passwd」のuser001001の行にはhoge.comがばっちり書かれています。 従ってangelさまのご指摘の通りアクセスし放題となっております。 ◆ちいにぃさまへ FTPのchrootや前記事を参考にしてサービスの提供元に言ってみようと思います。 > # VPS (Virtual Private Server)って呼ばれています。 参考にさせて頂きます。 | ||||
|
投稿日時: 2005-08-20 09:46
.htpasswdの事について書いたはずなのだけど、どこで話が変ってしまったのでしょうか？ （ちょっと先の書き込みの時には忘れてたけど） 権限の付け方によっては（もしくはサーバの設定の仕方によっては）見る事も出来ないように出来るはずだけど、 実際に見れる事を確認してから書き込んでいるのでしょうか？ （或いは中途半端な知識しか持たない自分の知らない技術によってセキュリティが保たれてるという可能性もあるし。 サーバによって色々ポリシーや設定があるのだから、本当の所はサーバの管理者しか分からないでしょ？） （先に書いたように、自分でやってみて「危ない」と思ったら管理者の人に知らせるなり別の所に行けばいいだけの話。） | ||||
|
投稿日時: 2005-08-20 14:48
こんにちは。
ありがとうございます。本当にホームディレクトリなんですね… ※ また謎な運用です。代表ユーザだけでエエジャナイカと思いますけどね。 私の経験から言えば、問題点を突っ込むよりも、ポリシーなりセキュリティの担保をどうしているか、管理側に質問を投げる方がまだしも良いと思いますよ。 説明が不十分なら、嘘なり勘違いが含まれているなら、明らかに問題があるなら、さらにツッコムも良し、です。 現時点では、情報が相当漏れやすい状態だと感じはしますが、国さんの情報だけで確定している訳では無いですから… ( ディレクトリに付加されている other のパーミッションの意味も分からない… 制限を強くすれば防げるのかも分からない… CGI等がどのように使えるのかも分からない… ) 以上、ご参考まで。 | ||||
|
投稿日時: 2005-08-20 16:19
その他に読み取り権限が無いのでディレクトリ上にあるファイルの一覧は見えないかもしれませんが、ファイルそのものは見ることができるはずですよ。 | ||||
|
投稿日時: 2005-08-20 22:33
レスありがとうございます。
angelさま サービス提供側への問い合わせの参考にさせて頂きます。 あんとれさま > その他に読み取り権限が無いのでディレクトリ上にあるファイルの一覧は見えないかもしれませんが、ファイルそのものは見ることができるはずですよ。 すみません。その通りです。 とりあえずこの対処をしておきました。 皆様のご意見、大変参考になりました。 貴重なご意見有難うございました。 | ||||
スキルアップ／キャリアアップ（JOB@IT）
Copyright © ITmedia, Inc. All Rights Reserved.
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。
著作権はアイティメディア株式会社またはその記事の筆者に属します。
当サイトに掲載されている記事や画像などの無断転載を禁止します。