第3回WordBench 山口

by Kenji Kojima

Slide 1

Slide 1 text

2016年10月15日小島健司サーバとかセキュリティとかSSLの話とかいろいろお話します第3回 WordBench山口

Slide 2

Slide 2 text

自己紹介小島健司 Twitter https://twitter.com/nu_nrgist Facebook https://www.facebook.com/kenji.kojima.96 ファーストサーバ株式会社でかれこれ十数年働いています。 CMS コミュニティ：WordCamp Kansai 実行委員 ※いつもスポンサー担当 WordBench 大阪モデレーターのひとり

Slide 3

Slide 3 text

社名ファーストサーバ株式会社 FirstServer, Inc. 所在地大阪市中央区安土町1丁目8番15号野村不動産大阪ビル3F 事業開始 1996年7月資本金 3億6,357万円主要株主ヤフー株式会社事業内容レンタルサーバーサービスドメイン名登録サービスクラウドサービス会社紹介

Slide 4

Slide 4 text

https://www.templateking.jp/ WordPressの無料テーマ画像素材も始めました公式テーマに申請中だけどなかなか進まない・・・テンプレートキング

Slide 5

Slide 5 text

カスタムカラー機能付の新バージョン 5

Slide 6

Slide 6 text

無料のSSL証明書も2種類取扱っています

Slide 7

Slide 7 text

ウチにもPepperくんがいます。 WordBench大阪その他イベント・セミナーの会場としてよく使ってもらっています。

Slide 8

Slide 8 text

本日のお題 8 1.レンサバ屋からお話しする「WordPressを運用する上で知っておきたいサーバの違いとセキュリティ注意点」 (ココだけの話含む) 2.WordPressサイトの常時SSL化を検討しよう

Slide 9

Slide 9 text

1-1 WordPressを運用するサーバの違い 9

Slide 10

Slide 10 text

今年のWordCamp Kansai、Tokyoでも多くのサーバ会社が協賛 10

Slide 11

Slide 11 text

11  (マネージド)レンタルサーバー共有専用(マネージド・セルフ)  VPS  クラウド  オンプレミス(自社サーバー)  WordPress専用サービス WordPressを運用するときのサーバー選択肢

Slide 12

Slide 12 text

12  マネージド  ノンマネージ(セルフ) サーバ会社同士ではこの二つでだいたい区別。一般的にはたぶん浸透していない

Slide 13

Slide 13 text

13  ルート権限あり  ルート権限なし

Slide 14

Slide 14 text

14 よく不動産に例えられます

Slide 15

Slide 15 text

15  賃貸マンション・アパート  一戸建て賃貸  持家  賃貸マンション・アパート  一戸建て賃貸  持家

Slide 16

Slide 16 text

山口と言ったらやっぱりフグ!? なので不動産とはちょっと違う例えで。

Slide 17

Slide 17 text

「さかな料理が食べたい、食べさせたい」ってときの行動に例えてみる

Slide 18

Slide 18 text

魚屋で1匹丸ごと買ってさばくぜ！

Slide 19

Slide 19 text

さばけないので切身を買って料理する

Slide 20

Slide 20 text

出来たのを買ってくる

Slide 21

Slide 21 text

• さばける人 →ルート権限付の専用サーバやクラウドで1から • さばけないが切身で料理は出来る →VPSやクラウドAMIなどを使って構築 • 料理できないが盛り付けはできる • 面倒なので今日は料理したくない →マネージド型レンタルサーバ

Slide 22

Slide 22 text

• さばけて料理も出来る人 →ルート権限付の専用サーバやクラウドで1から • さばけないが切身で料理は出来る →VPSやクラウドAMIなどを使って構築 • 料理できないが盛り付けはできる • 面倒なので今日は料理したくない →マネージド型レンタルサーバ釣る魚屋に行く鮮魚コーナーに行く惣菜コーナーに行く

Slide 23

Slide 23 text

• 魚屋 →さくらインターネットさん(切身や惣菜もあるよ) AWS、IDCFとかを１から構築 • 鮮魚コーナー →AWS+amimotoとかIDCF+kusanagiとかさくらのVPSとか • 惣菜コーナー →エックスサーバさん、GMOペパボさん、ファーストサーバなどなど

Slide 24

Slide 24 text

WordPressを運用するサーバを構成するもの OS ハードウェア Apache、MySQL、phpなど WordPressなどのコンテンツエリア

Slide 25

Slide 25 text

料理する範囲 OS ハードウェア Apache、MySQL、php WordPressなどのコンテンツエリア OS ハードウェア Apache、MySQL、php WordPressなどのコンテンツエリア OS ハードウェア Apache、MySQL、php WordPressなどのコンテンツエリアサービスによってさまざま専用サーバとかクラウド VPS マネージドサービス

Slide 26

Slide 26 text

• 料理できない人 + 丸ごと1匹or切身 • 構築・管理できない人 + ルート権限有自分用や練習は良いけどお客さんに出しちゃダメ！

Slide 27

Slide 27 text

料理できないけど家で出来立てが食べたい！プロに作ってほしい！って時 Cloudpackさんやテコラスさんなど料理人(MSP)に頼もう！

Slide 28

Slide 28 text

惣菜コーナーにもいろいろスーパーから高級デパ地下まで

Slide 29

Slide 29 text

マネージドサービスで提供される領域 29 WEB Mail DB

Slide 30

Slide 30 text

30 提供会社によって提供方式もいろいろ WEB DB Mail WEB DB Mail DB Mail WEB Mail WEB DB Mail WEB DB Mail Mail DB WEB DB WEB WEB Mail DB

Slide 31

Slide 31 text

内風呂か大浴場か例えるなら一長一短、案件や利用、好みに応じて

Slide 32

Slide 32 text

32 https://www.spamhaus.org/sbl/listings/firstserver.co.jp

Slide 33

Slide 33 text

WordPress簡単インストールの違い 1. プログラムをダウンロード 2. 解凍 3. アップロード 4. DB作る 5. WordPressのウィザードに従って設定する 6. /wp-admin/にアクセスする 33 簡単インストール機能で 5. までやってくれるのもあれば 3.くらいまでのサービスも(←簡単ちゃうやん)

Slide 34

Slide 34 text

自分の技量とか状況とか案件の内容によって適切なサーバ選びを！ 34

Slide 35

Slide 35 text

1-2 セキュリティについて

Slide 36

Slide 36 text

サーバへの攻撃はほとんどがいたずらや技術力誇示じゃなくて 36 お金儲け＝ビジネス目的です！

Slide 37

Slide 37 text

気をつける範囲 OS ハードウェア Apache、MySQL、 php WordPressなどのコンテンツエリア OS ハードウェア Apache、MySQL、 php WordPressなどのコンテンツエリア OS ハードウェア Apache、MySQL、 php WordPressなどのコンテンツエリアサービスによってさまざま

Slide 38

Slide 38 text

被害にあわない為には・古いバージョンは使わない！・テーマやプラグインは公式もしくは信頼できるところから！例：信頼できる→公式テーマやtemplateking.jp 危ない→ブログ記事・まとめサイトから海外サイトへ DownLoad →悪いコードが仕込まれてた・カスタマイズは情報は信頼できる人からの情報を！ WordPress Codex 、フォーラムなど・WAFの活用

Slide 39

Slide 39 text

多くのレンタルサーバで利用できる WAF (WEBアプリケーションファイアウォール)

Slide 40

Slide 40 text

WAFとはウェブアプリケーションの脆弱性を悪用した攻撃からウェブサイトを保護するソリューション WWW 不正アクセス正当なアクセス WAF

Slide 41

Slide 41 text

不正なアクセスをブロック HTTPステータス403 Forbiddenを応答

Slide 42

Slide 42 text

CMSの利用でブログ等によく掲載されている残念なこと「○○が出来ないときはWAFをOFFに」 ↓ カスタムシグネチャで回避。

Slide 43

Slide 43 text

SiteGuard WP Plugin https://ja.wordpress.org/plugins/siteguard/ ファーストサーバのZenlogicではWordPress簡単インストール時に同梱してインストールしています。多くのレンタルサーバーが採用するWAF セキュリティプラグインも公開されています

Slide 44

Slide 44 text

SiteGuard WP Pluginの機能インストール後、すぐに利用できる日本語のセキュリティプラグイン

Slide 45

Slide 45 text

改ざんされてしまったら

Slide 46

Slide 46 text

意外に多い2度目の改ざん！！改ざんされた領域だけでなく全チェックを！どこに何を仕掛けられているかわからない例）・サイトの表示だけ直して他のディレクトリにもスクリプトが置かれていた・コンテンツ削除したが前のコンテンツを悪いスクリプトごと置いてしまった。

Slide 47

Slide 47 text

推奨している対処  サーバ上の全コンテンツ削除  全FTPアカウントのパスワード変更  管理画面のパスワード変更  PC環境のセキュリティチェック  大丈夫なコンテンツのアップロード

Slide 48

Slide 48 text

ホームページの修復だけじゃない • 何をされましたか？ • どんなデータが存在していましたか？ →把握していますか？最悪の事態になっていないかをチェック

Slide 49

Slide 49 text

49 2.WordPressサイトの常時SSL化を検討しよう

Slide 50

Slide 50 text

なんで常時SSLにした方がいいの？ 50

Slide 51

Slide 51 text

51 wifiあります! SSID：○ ○ ○ ○ ○ ○ ○ key ：※ ※ ※ ※ ※ ※ ※ ※ ※

Slide 52

Slide 52 text

「保護」はアクセスポイントまで！ 52 サーバー wifiアクセスポイント internet http://ではココだけ http://ではココは生 https://では全部暗号化通信

Slide 53

Slide 53 text

ニセのアクセスポイントかも 53 サーバー本物のアクセスポイント盗聴・改ざん・・・ニセのアクセスポイント

Slide 54

Slide 54 text

 問合せフォーム  ネットショップの決済  管理画面 etc. TOPからhttpsにする必要あるの？こういうページはわかるけど

Slide 55

Slide 55 text

誰の為にSSL化？ 55 サイト運営者サイト閲覧者こちら側の目線が強かったこちらに注目！

Slide 56

Slide 56 text

スマホを後ろから覗き見・・・

Slide 57

Slide 57 text

57 今となりの人あの番組見てるなー壁の向こうから聞かれる・・・

Slide 58

Slide 58 text

58 例）カフェで提供されているwi-fiのニセwi-fi  覗き見いつもhttp://example.com/ のサイト見てる・・・ ↓ ↓ ↓ ↓ ↓ ↓ ↓  傾向からフィッシングサイトへの誘導  攻撃の準備 etc. 危険がいっぱい！

Slide 59

Slide 59 text

常時SSLに！ 59 サーバー internet https://で暗号化通信！

Slide 60

Slide 60 text

ブラウザも厳しく 60 firefox chrome

Slide 61

Slide 61 text

証明書の違い 61

Slide 62

Slide 62 text

3種類あるの知ってる?

Slide 63

Slide 63 text

3種類のサーバ証明書ドメイン認証企業認証拡張認証 Domain Validation Organization Validation Extended Validation DV OV EV

Slide 64

Slide 64 text

証明書の違いドメイン認証 DV 企業認証 OV 拡張認証 EV ドメイン名の使用権限を認証 ○ ○ ○ 企業の実在性を認証 × ○ ◎ フィッシング詐欺対策 × ○ ◎ アドレスバーに組織名表示 × × ○ 信頼性 ★ ★★ ★★★ 費用低中高

Slide 65

Slide 65 text

認証プロセス【ドメイン認証】証明書の発行ドメイン名の使用権限確認ドメイン認証ドメイン名の使用権限を確認するのみ。・無料もある・低価格・発行が早い・個人でも取得OK 誰でも手軽に取得できる→信頼度は星ひとつ「Search Console」みたいな感じで認証

Slide 66

Slide 66 text

認証プロセス【企業認証】証明書の発行ドメイン名の所有者・使用権限確認登記や帝国データバンク等のデータベースを確認申請責任者への電話確認企業認証ドメイン名の所有者名・使用権限と実在確認・実際に存在するかを電話確認・住所の証明等に公共料金の請求書等の提出が必要な場合あり・個人はNG 証明書ベンダーにより個人事業主はOKなものも

Slide 67

Slide 67 text

認証プロセス【拡張認証】証明書の発行登記や帝国データバンク等のデータベースを確認申請責任者への電話確認申請責任者権限確認者の確認 EV証明書最も厳格な審査最高度の信頼性を実現金融機関などが多く利用アドレスバーも違う！ドメイン名の所有者・使用権限確認

Slide 68

Slide 68 text

アドレスバーの違い企業認証(OV)、ドメイン認証(DV)では組織名称は表示されない拡張認証(EV)では組織名称が表示されます。

Slide 69

Slide 69 text

スマホブラウザ 69 iPhoneでEV Android標準ブラウザだと EVでも社名は出ない

Slide 70

Slide 70 text

詳細表示のちがい OVとEVでは組織名称が表示。 DVでは組織名称が表示されない。

Slide 71

Slide 71 text

ドメイン認証企業認証拡張認証 Domain Validation Organization Validation Extended Validation DV OV EV サイトの性質や予算により適切なものを選択しましょう

Slide 72

Slide 72 text

無料の証明書!?「 Let’s Encrypt 」とは https://letsencrypt.org/ Cisco Systemsやモジラ財団などの大手企業・団体がスポンサーとして支援する非営利団体の ISRG（Internet Security Research Group）が運営。証明書を無料で発行し、HTTPS通信を普及させることを目的。レンタルサーバではファーストサーバとエックスサーバさんで簡単に使えます！ WordPress.comでも採用されています。

Slide 73

Slide 73 text

SNI 73 ■SNI非対応のサービスだとサーバにドメイン名の設定は無制限に設定できても https化できるのは1つのみ。 https://example.com/ http://example.net/ http://example.org/ サーバー ■SNI対応のサービスだと 1つのIPアドレスに対して複数のSSL証明書が設定できます。 https://example.com/ https://example.net/ https://example.org/ サーバー

Slide 74

Slide 74 text

WordPressを常時SSL化

Slide 75

Slide 75 text

まずはhttpsでアクセスできるように 75 証明書の申込などをしてから【https】でアクセスしたときのドキュメントルートを設定 https://example.com/でCMSにアクセスできるようにレンタルサーバによって違う (Zenlogicは結構簡単だと思うよ)

Slide 76

Slide 76 text

ダッシュボードでhttp→httpsに変更 76 ※サーバの仕様や設置ディレクトリにより注意してください

Slide 77

Slide 77 text

便利なプラグイン 77 https://ja.wordpress.org/plugins/really-simple-ssl/ リダイレクト設定を入れたり画像のパスとかを変更してくれる