タグ別アーカイブ: security

IP Geo Block

WordPressプラグイン脆弱性 – 攻撃ベクタの分析と対策

「セキュリティ」のタグが付いたプラグイン は、公式サイトに1000個程もあり、その中から「1本」を選び出すのは至難の業でだと思います。

そもそも「セキュリティ対策」と一口に言ってもその範囲は広いわけで、健康管理に例えるなら「予防」や「診断」、「治療」とったカテゴリがあるワケで、さらに「予防」的なものには、

  • 「定期的にバックアップをとっておきましょう」的な「定期検診」系
  • 「常に最新版にアップデートしておきましょう」的な「うがい励行」系
  • 「パーミッションやパスワードを強化しましょう」的な「体力増強」系
  • 「2要素認証やファイアウォールを導入しましょう」的な「マスク着用」系

とまぁ色々あるワケです(ヘタクソな例えでスミマセン)。

一方、WPScan の脆弱性データベース には、プラグインやテーマが毎月10個ほど、続々と登録され続けています。

そこで私が最近こだわっているのが「未知の脆弱性という病巣を抱えたプラグインやテーマへの攻撃」を防御する「免疫力強化」系(!?)です。

ということで、IP Geo Block の現状の防御力を調べ、今後の開発の方向性を見定めるために、プラグインの脆弱性データベース から最新の50個を順に拾い、「攻撃ベクタ」という観点で分析を実施してみました(ものすごく骨の折れる作業でした 😉 )。

自分でも予想外の結果だったので、ここに公開します!

続きを読む

wp-adminへのゼロデイ攻撃を防ぐ機能を追加 – IP Geo Block更新告知

2014年12月、NTTコミュニケーションズが「Zero day Attack Protection(仮称)」を開発、今年4月からのサービス開始を発表しましたが、我が WordPress プラグイン IP Geo Block も独自の仕組みにより一部の ゼロデイ攻撃 を防御する機能を追加しましたので、その告知とバグ出しの協力願いをしたいと思います 🙂 。

続きを読む

Web Automobile Firewallという考え方

今回は、めずらしく妄想系のハナシを書きたいと思います。

昨今、自動車業界が「自動運転」で騒がしい事はご存知だと思います。ブームの発端は Google X のプロジェクト なワケですが、中でも「セキュリティ」が盛り上がりを見せています。

つい先日も BMW がセキュリティ上の欠陥を見つけた とか、DARPAのハッカーが、衛星通信サービスの脆弱性をついて GM のコンピュータ・ソフトウェアを書き換え、ホーンを勝手に鳴らすのはご愛嬌としても、ブレーキを利かなく出来る という問題が騒がれました。期せずして、自動車業界にはセキュリティの専門家がいないということを露呈しちゃったワケです。

続きを読む

SucuriによるWordPress脆弱性の統計

プラグイン作者必読!実例に学ぶ脆弱なWordPressプラグインの作り方、又はwp-adminを守る理由

セキュリティ・コンサルティング Sucuri2014年11月の記事 によると、WordPress プラグインの3大脆弱性は、SQL インジェクション(SQLi)、クロス・サイト・スクリプティング(XSS)、ファイル・インクルージョン(FI)とのことです。

冒頭のグラフ は最新の分析結果で、この事実を裏付けています。プラグイン開発の チュートリアル手引き には、脆弱性を作り込まないためのポイントが上手にまとめられているのに、なぜ無くならないのでしょうか?

「ヒトが作るものだから、バグがあって当然」と言ってしまえばそれまでですが、 Sucuri のブログ を読み漁っていると、こと脆弱性に関する限り、 WordPress に特有の「思い込み」や「見過ごし」といった、ヒトの心理的・認知的な盲点が原因の多くを占めているんじゃないかと思えてきます。

だから単に PHP のセキュリティ How To ではなく、私が公開している唯一のプラグイン の機能設計と脆弱性を作り込まない実装のために勉強したたこと − 実際に攻撃を試し脆弱性を追跡して見えてきたこと − を中心にまとめてみたいと思います。ただし具体的な攻撃方法は、元記事以上に詳しくは触れません、あしからず 😉 。

続きを読む

プラグインなしから発想するWordPressセキュリティ – IP Geo Blockの更新告知

昨年末、一晩で15000余りの パスワード辞書によるクラッキング を受けました。その時のログを分析してみて改めて思ったのは、「これだけランダムで長けりゃ大丈夫」的なパスワードも、「漏れたら終わり」って事です。

「ランダムで長いパスワード」をアカウント毎に頻繁に変えるのは面倒なワケで、長い間変えずに使い続けと、漏洩時のリスクが極めて高くなるってことだと思います。

おっと、何も パスワードの定期変更は必要か の議論へ乱入しようというワケじゃありません。

IPアドレスのジオロケーション情報を元に海外からの投稿を弾くスパム対策プラグイン IP Geo Block に、wp-login.phpwp-admin/admin.phpxmlrpc.php へのアクセスを遮断するセキュリティ機能、さらにはログを記録する機能を追加したので、その告知が本記事の主題です 😉 。

続きを読む