月に起きたアリスソフトさんの件について、色々とこちらのサーバの構成を変えるべきかも知れないと思ったので日記に記す。例の事件の時もボクは大忙しで、この事件の詳細については調べる時間がなかった。おおむねざっと情報を横断したところ、納品先に渡すためのダウンロード・ディレクトリが洩れてしまったというのが原因の様だった。これはどういうことかというと、ファイルをやりとりする際、こちらから一方的に送るだけの場合、利便性も考えてブラウザで落とせるようにするのが一番よい。そのため、ウェブサイトのどこかにそのデータを置き、そのデータのアドレスを相手に知らせて、ダウンロードしてくださいね、とやるのである。サーバにもある(爆)。言うことを書くのは非常によろしくないのだが、とは言え、まったく書かないと話が通じないので、バラしてしまった。主な用途は成果物の納品や、雑誌社さんに渡す素材などだ。利便性を優先して、パスワードはかけていない。年以上、使ってきている。バレないという保証はないが、いくつかのステップは必要である。ダウンロード出来るのか、知る必要がある。基本的に外部からは推測して当てるしかないが、おおむね想像がつくことも多い。その手の単語は推測されやすいかも知れない。ファイル名の特定ダウンロード・アドレスが解っても、ファイル名が解らなければダウンロード出来ない。エラーなどでハネられてしまうからだ。ここで注意が必要なのが、ファイル名ではなく、ディレクトリが指定されると、そのディレクトリにあるファイルを返してしまうという設定がある。なっていると、目も当てられない。ダウンロード・アドレスに置いてあるすべてのファイルが見えてしまうからだ。いうわけで、上の二つの名前が分からなければダウンロードはできない。知っているのは、ボクが「ここからダウンロードしてくださいね~」って教えた相手だけのはずなのだ。検索エンジンに乗ることもない。検索すると出てしまうらしい。載ったんだろうってことだ。検証サイトとかできてるのかな。情報を持っている人がいたら教えて欲しいです。推測に成功した人が、どこかの掲示板か何かに載せたか......でもそんなことってあるのかなぁ??というわけでこのようなことが起きたため、ボクもダウンロードについてはどうしようか今も考え中である。一定期間経つと、そのダウンロード・アドレスに置いたファイルは削除する様にした。圧縮して渡しているので、ダウンロード・アドレスにあるファイルはなくなってもかまわないものだ。ファイルの更新日付をチェックし、一定期間が過ぎたファイルについては自動的に削除するスクリプトを組んだ。今後対策していこうと思っているのは、以下の通りである。ダウンロード・アドレスをランダムに生成するファイルを用意するたびに、ダウンロード・アドレスはランダムに生成する様にする。相手先それぞれにダウンロード・アドレスを用意する。サブドメインも利用すると、より複雑になると思われる。ファイル名もランダム生成するファイル名もランダム生成し、推測できないようにする。引いているところがほとんどだ。PHP)を書く必要がある。どちらにせよ、数ヶ月以内には対応しないとダメかなーと思っている。コメントをキャンセルメールアドレスが公開されることはありません。»Intoroduction某コンシューマ・ゲーム会社勤務。ディレクション、時々プログラマ。なってから宿題を始めてしまう、ダメ人間タイプ。撮られた写真はジオタグがついてます。カメラの詳しい遍歴はこちら。お勧めの曲やその日、ボクがヘビーローテーションした曲など。