Pega Weblog

MT「第三者による不正アクセスの危険性」の対策

MTに第三者による不正アクセスの危険性があるとシックス・アパートから発表されました。
ただ、これは

[MT][セキュリティ][脆弱性] MTの認証Cookieに関する脆弱性とされているものについて (02:38) - tdiary.ishinao.net (2005-05-14)

「あなたのメールパスワードは、他人に漏れないように注意してくださいね。もしも漏れたら他人にメールを読まれちゃいますよ」というだけで、脆弱性とは言わないだろう。具体的にパスワードが漏れる手段が見つかった段階で、それは脆弱性となる。

NDO::Weblog

Movable Type 脆弱性の発表は脆弱性ではない、のまとめ。

１．AdminCGIPathについて
Movable Type Technotes: 盗聴によるパスワードやCookieの漏洩からの不正アクセスを防止する(1)では、"AdminCGIPath"として個別に"mt.cfg"に設定し、mt.cgiへのリンクを隠蔽を推奨しているが、httpsではなく、別のパスで行った場合、つまり、新しいディレクトリの作成＆新しいディレクトリに mt.cgi を移動＆mt.cfg に AdminCGIPath を追加だけでは、うまく作動しない（管理画面ログイン後エラーが表示される）ので、この方法はパスした。
なお、このエラーの対処方法は、小粋空間さんのAdminCGIPath を利用した mt.cgi の利用で解説されています。

２．mt.cgiをリネームする。
CookieでＩＤ、パスワードが盗まれても、mt.cgiにログインできなければいいので、mt.cgiをrenameしました。この方法は簡単でいいかもしれません。ただ、QuickPostを使っている場合は再度QuickPostを設定する必要があります。

３．.htaccessでリネームしたmt.cgiを保護する。
リネームしたmt.cgiに以下内容の.htaccessを設置する。ここでは、リネームしたmt.cgiをrename-mt.cgiとします。

<Files rename-mt.cgi>
AuthName "画面に表示される文言を適当に入れます"
AuthType Basic
require valid-user
AuthUserFile /（rename-mt.cgiがないパス＝推奨　をフルパスで指定）/.htpasswd
</Files>

.htapsswdは以下内容になります。

hogehoge:13rsshogean545go
ログイン名：暗号化されたパスワード

４．BlogPetやmoblogでXPL-RPCを使っているので、Movable Type Technotes: XML-RPCを利用した投稿を安全に行うためにで紹介されているように、XML-RPCで利用するアカウントは専用のものにし、権限を「投稿」などに限定した。

５．Movable Type Technotes: 盗聴によるパスワードやCookieの漏洩からの不正アクセスを防止する(2)で紹介されているように、ログアウトを行う＆ログイン画面の「情報を登録する? 」のチェックボックスにチェックしないように運用するように徹底することにしました。
ただし、QuickPostを使いとその画面ではログアウトがでいないので、メイン画面（リネームしたmt.cgi）を開き、ログアイトすることにしました。また、Cooikeを定期的に削除することにしました。

６．今回の件とは関係ないですが、mt.cfgがブラウザで見れたので、パーミションを400にした。mt.cfgは見られても問題ないと思いますが、念のため。場合によっては、.htaccessで保護してもよいでしょう。

これで、一応一安心。

Posted by pega at 2005年05月14日 22:08     
| | | | ⇒English | ⇒大阪弁 | Clip!!