MTDDC Tokyo 2011

MTDDC Tokyo 2011

シックス・アパート株式会社金子 順

自己紹介 : 金子 順2009年より日本および海外での製品開発、リリース、コミュニティーマネジメントを担当twitter: goodpicblog: www.goodpic.com

本日のアジェンダ

の新機能5.1

本日のアジェンダ

荒木勇次郎/蒲生トシヒロ/藤本壱/西畑一馬/柳 泰久/伊藤のりゆき/金子順/高橋真弓/天野卓/奥脇知宏［著］　　蒲生トシヒロ［編］　シックス・アパート株式会社［監修］

! "#$%&'()*&'+,-

詳しくは書籍で...

今すぐできるセキュリティ強化

本日のアジェンダ

5.1

５月２５日に正式版公開

5.1

4.2924.37 5.06

5.12

MTOSPro

Advanced

6/9 と 6/23 にセキュリティーアップデート

詳しくは:http://www.movabletype.jp/ をご覧下さい

セキュリティ強化月間

現在、MT開発チームは

今後数週間をかけて、全ソースコードをレビュー

半日でできるセキュリティ強化

✓ 常に最新版を使う✓ 管理画面のアクセス制限✓ SSLを利用✓ ファイルアップロード制限

いくつ実施していますか？

CGIファイルのみ

コンテンツのみ

管理画面のアクセス制限

/cgi-bin/*.cgi /mt-static//*.html

CGIの実行を禁止実行ファイルのみ

http://example.com

CGIとドキュメントディレクトリを分離

/cgi-bin/*

ネットワーク的なアクセス制限

CGIを別ドメインにして、IPアドレスやドメイン名でアクセス制限したり、DMZ内に配置する

詳しくは http://httpd.apache.org/docs/2.2/ja/mod/mod_authz_host.html

mt.cgi のスクリプト名を変更

https://example.com/cgi-bin/mt/mt.cgi

notmt.cgi

ボットや第三者による、管理画面URLの類推を防ぐ

環境変数 (mt-config.cgi) で設定

AdminScript notmt.cgihogehoge.cgi とか、 どんな名前でもよい。

/cgi-bin/mt.cgi

mt.cgi にBasic認証をかける

コメント（mt-comments.cgi）やコミュニティ(mt-cp.cgi)にはログインOKだが、管理画面(mt.cgi)へのアクセスは制限

詳しくは http://httpd.apache.org/docs/2.2/ja/howto/auth.html

AuthType BasicAuthName "Restricted Files"AuthUserFile /path/to/.htpasswd<Files mt.cgi> Require valid-user</Files>

.htaccess

<Directory "/home/example/www">

</Directory>

etc....

httpd.conf

Basic認証とMTアカウントは必ず別のID・パスワードを設定

基本的にSSL必須。SSLを利用しないと、

平文でIDとパスワードがネットワーク流れるため、むしろ危険性が増す場合も。

SSL通信

管理画面を、SSLで保護

SSL通信

サーバとブラウザ間の通信を暗号化

StaticWebPath /mt-static

環境変数 (mt-config.cgi) の設定

必ず相対パスで指定

管理画面内で画像やCSSなどのファイルがSSLと非SSLで混在しないように

AdminCGIPath https://example.com/cgi-bin/mt/

CGIPath http://example.com/cgi-bin/mt/

環境変数 (mt-config.cgi) の設定

管理画面のURL(SSL)

管理画面以外のスクリプトのURL

ただし、この設定だけで『管理画面がSSL必須』になる訳では無い

AuthType BasicAuthName "Restricted Files"AuthUserFile /path/to/passwords<Files mt.cgi> Require valid-user SSLRequireSSL</Files>

.htaccess

<Directory "/home/example/www">

</Directory>

httpd.conf

案1. SSLでない場合はForbidden

etc....

RewriteEngine OnRewriteCond %{SERVER_PORT} ^80$RewriteRule ^(cgi-bin/mt\.cgi)$

https://%{SERVER_NAME}/$1 [R,L]

.htaccess

<Directory "/home/example/www">

</Directory>

httpd.conf

案2. SSLにリダイレクトする

etc....

実際は一行で

でも、SSLって、、、

お高いんでしょう？

ブランド名や、携帯対応を気にしなければ海外の安いものでも問題ない。

RapidSSL（GeoTrust, Inc）やGo Daddy SSL などは

$20 - 40 / 年 で取得可能

ファイルアップロードの制限

AssetFileExtensionsDeniedAssetFileExtensions

MT 4.291 / 4.361 / 5.051 / 5.11以降のバージョンで、環境変数として利用可能

AssetFileExtensions

"gif,jpe?g,png,bmp,tiff?,mp3,ogg,aiff,wav,wma, aac, flac,m4a,mov, avi,3gp,asf,mp4,qt,wmv, asx,mpg,flv,mkv,ogm"

ホワイトリスト : 指定した拡張子のファイ

ルだけをアップロード可能。初期値は無いので、独自に指定。

DeniedAssetFileExtensions

"ascx,asis,asp,aspx,bat,cfc,cfm,cgi,cmd,com,cpl,dll,exe,htaccess,htm,html,inc,jhtml,js,jsb,jsp,mht,mhtml,msi,php,php2,php3,php4,php5,phps,phtm,phtml,pif,pl,pwml,py,reg,scr,sh,shtm,shtml,vbs,vxd"

ブラックリスト : 指定した拡張子のファイ

ルは、アイテムとしてアップロードできない。上記が初期値。初期値に加えて追加指定。

半日でできるセキュリティ対策

✓ 常に最新版を使う✓ 管理画面のアクセス制限✓ SSLを利用✓ ファイルアップロード制限

できることは確実に！

今後のプラン

5.2セキュリティ強化月間の後に７月から要件定義フェーズへ

Safari / Firefox 最新版

Internet Explorer 95.13か5.14で対応予定

5.1x各リリースで追従

Chrome 最新版バグがあったら直します

スマートフォン対応

要望、バグ報告、随時募集中！http://communities.movabletype.jp/

http://bugs.movabletype.org/

残り時間で？

の新機能5.1

Blog A Blog B Blog C

Website 1 Website 2

Blog D Blog F

Systemシステム+ウェブサイト+ブログの連携強化& テンプレートタグ強化カテゴリ、フォルダ、投稿画面の

並び替え

新しい一覧画面でソートやフィルタ

Webkit 対応

カテゴリ（フォルダ）の並び替え

記事数

追加フォーム保存ボタン

編集 | サブカテゴリ追加 | 削除編集画面

カテゴリとフォルダの新しい管理画面

ラベルとベースネームを一覧で編集

<$mt:CategoryLabel$>日本語の表示名

<$mt:CategoryBasename$>URLで使う英語名

カテゴリをドラッグ＆ドロップで並び替え

階層下げる階層上げる

並び替え

別のカテゴリのサブカテゴリに

demo

<mt:SubCategories

sort_by=”label” sort_order=”descend”>

• label• description• basename• created_on• modified_on• user_custom (default)

• ascend• descend

• mt:TopLevelCategories• mt:SubCategories• mt:TopLevelFolders• mt:SubFolders

New in 5.1

<mt:SubCategories sort_by=”label” sort_order=”descend”>

</mt:SubCategories>

<mt:CategoryNext>

<mt:CategoryPrevious>

<mt:Entries> <mt:EntryPrimaryCategory> <$mt:CategoryLabel$> </mt:EntryPrimaryCategory></mt:Entries>

New in 5.1

一覧画面の強化

MT5.0x の表示オプション

Before...

表示オプション

様々な情報を一覧に表示

クリック毎に昇順/降順でソート

コメントの多いブログ記事は？リストの各カラムで昇順、降順ソートが可能

複数条件の組み合わせてフィルタ

フィルタパネルを開くフィルタ項目を選択

複数フィルタを組み合わせ

ページをまたぐ全件選択とアクション実行

demo

フィルターを保存

フィルタの再利用

ウェブサイト

ブログ

システム

システムでMT全体のコンテンツを管理

Ajax によるパフォーマンス向上

New in 5.1

新しい一覧の機能は

すべての一覧で利用可能

ウェブサイト、ブログ、ブログ記事、ウェブページ、アイテム、タグ、コメント、トラックバック、ユーザー、コメント、メンバー、フィルター、カスタムフィールド、権限、ロール、禁止IPアドレス、アドレス帳、ログ、グループ（Movable Type Advanced）、グループメンバー（Movable Type Advanced）

マルチブログの強化

<mt:Entries include_blogs=”children”>

website

Blog 1 Blog 2 Blog 3

マルチブログ

<mt:Entries include_blogs=”children”exclude_blogs=”2”>

website

Blog 1 Blog 2 Blog 3

New in 5.1

ウェブサイトのテンプレートをインクルード

<$mt:Include module="X" parent="1"$>

Website

Blog A Blog B Blog C

ブログからウェブサイトのテンプレートをインクルード。注) ウェブサイトにテンプレートがない場合でもグローバルは参照しない。

New in 5.1

<mt:XX trim_to=”5+...” />

"N+文字列" で省略文字を指定。例えば、trim_to="5+..."

と指定すると、"サンプルの文章です"という文章は"サンプルの..."と表示されます

Thank you !