security-literacy

ブログ blog の掲示板 BBS 化

新提案：ウェブログ著者(ユーザー）以外のクライアントに対して新規エントリーを制限付き許可するシステムを導入すると、掲示板として利用できるので、ご検討のほどよろしくお願いいたします。

試作ページ:
1) 送信フォームにて新規エントリー受付。メールアドレス取得、登録許可を管理側で決定。Kentさんの ASKA BBS をお借りしました。

     受付サイトで新規エントリーの送信 ⇒ http://www.osbsd.net/blog_bbs/index.xcg

2) ウェブログ著者（管理側) が採否決定、コメント。

     ブログサンプル ⇒ http://blog.so-net.ne.jp/novel/

現在、エントリーは自動ではありません。

ブログはメールによるエントリー投稿可能な新ブログツールを利用しました。以下は「So-net blog」の特徴と問題点です。なお、現在もベータ版?です。
ソニーコミュニケーションネットワークは独自のブログサービス「So-net blog」を開始しました (2004年11月24日)。
     http://arena.nikkeibp.co.jp/news/20041125/110154/
     http://blog.so-net.ne.jp/

携帯メールであれば、設定したメールアドレス(アカウントの変更自由)へ送信すると、新規エントリーとなります。
この機能を利用して、So-net blog を 掲示板 BBS 化することも可能です。
ただし、ベータ版では下記のように自動登録・設定されますので、ブログ管理者側でいくつかの編集が必要です。編集作業はパソコンのみ可能です。

自動登録内容
    Δ  カテゴリーの選択はできない（トップ登録したカテゴリとなる）
    Δ  共通テーマ moblog に自動登録され、タイトル、新規エントリーが公開される。
    Δ  トラックバック、コメントが許可される。

注意:「So-net blog」のスパマー対策は、残念ながら?　Movable Type のような Type Key認証やIP Banning など一切ない。コメント、TrackBackを許可するクライアントは、無制限、So-net blog ユーザー内部、非許可の中からの選択となる。
よって、掲示板 BBS 化などに伴うアクセス制限はスパマー対策としても利用できると考える。

なお、So-netのユーザーIDを取得すると、So-net blog を無料で利用できます。ただし、無料で So-netのユーザーID を取得するためには、「こんてんつコース」への入会が必須で、この場合、ご本人名義のクレジットカードでの身元確認が行われます。

日記のようなホームページを簡単に作るために

一部の大手インターネットサービスプロバイダー( ISP )提供のホームページ(無料オプション)上では、ブログツール ( Movable Type など) は通常、作動しないサーバ設定・環境となっています。
"記事を自由に書き込んで、日記のようなホームページを簡単に作りたい、公開したい" インターネットの初心者の方は、
Blog サービス
参照ページ(例): http://bulkfeeds.net/app/faq.html
がとても便利です。
    So-net blog ⇒http://www.osbsd.net/archives/000057.php
さらに、ブログツール Movable Type などをインストールしたい方は、まず、レンタルサーバの試用をおすすめいたします。その理由は、以下のとおりです。
==
Movable Type 新規インストールのためには、下記の動作環境が必要とされています。
http://www.movabletype.jp/product_overview.shtml

· CGIスクリプトを実行できる
· Perlのバージョン5.004.5以上
· アップロードするためのFTPなどのプログラム
· JavaScriptとCookieが利用可能 (Windows、MacOS、UNIX/Linux)
· ４つのデータベース・システムの少なくとも１つが利用可能: Berkeley DB、MySQL、PostgreSQL、SQLite

大手 ISP ３社のWWWサーバ (契約時に無料で利用可能となるものに限る) について MTインストールの可否を調査した。確認のために、MTの mt-check.cgi をサーバ内にアップロードした。

plala さん
· wwwサーバ　cgi不可
· cgi専用サーバ OS: linux Perl: 5.00503 DB_File: version 1.65
(但し、cgi専用サーバの容量上限は無料 5MBである)

hi-ho さん
· www,cgiサーバ兼用 OS: solaris Perl : 5.00601

so-net さん
· wwwサーバ cgi不可

結 果: 大手 ISP ３社との基本契約の範囲内では、Data Storage モジュールの１つ DB_File がインストールされているplalaさんの cgi専用サーバであれば、Berkeley DB を利用すると、MTは作動するかもしれないが、容量上限は無料 5MBであるので、有料オプションにて容量増設しないとインストール不能である (MT 3.11日本語版本体だけで バイナリーファイル展開後 5.28MB あり)。
結 論: Movable Type を使いたいとき、ISP のオプションサービス, アプリケーション・サービス・プロバイダー (ASP), レンタルサーバ会社との契約、自宅サーバ構築などの方法で、Movable Type を利用することになる。

レンタルサーバーについては Milano::Monolog さんのページにとても有益な情報があります。
  http://rebecca.ac/milano/install/

なお、Movable Type 3.11-ja 以降では、予約投稿のために cron ジョブ を使用できるサーバ環境( たとえば、 Xrea.com さんのサーバなど ) も必要となります。

php_flag register_globals Off and Movable Type 3.11, 3.12

Xrea.com さんのサーバーでは、PHP設定( php.ini ) register_globals On となっています。
Movable Type 3.11-ja では、スーパーグローバル変数 のみ使用しています。
.htaccess 内に下記の１行を追記し、セキュリティ上ハイリスクであるグローバル変数の使用を無効とします。

      php_flag register_globals Off

以下は簡単な解説です。
現在でも、EGPCS (Environment, GET, POST, Cookie, Server) 変数をグローバル変数として指定しないと作動しないサーバアプリケーションソフト (旧バージョンなど) がありますので、Xrea.com さんのサーバーなどでは、PHP設定ファイル php.ini にて、
      register_globals On
と、デフォルト Off (PHP 4.2.0以降) から On へ変更されています。これらの旧プログラムソフトをデフォルトの設定 register_globals Off のサーバ上で使用すると、ブラウザでアクセスしたとき、
   FATAL ERROR: register_globals is disabled in php.ini, please enable it!
などと表示されます。
しかし、本設定を有効 On にすると、セキュリティ上のリスクが多いので、
   http://www.sound-uz.jp/php/tips/security.html#01

PHP4.1.0 以降、セキュリティ上、安全な スーパーグローバル変数 ($_ENV、$_GET、$_POST、$_COOKIE、$_SERVER) の使用が可能となりました。

Movable Type 3.11-ja 以降、ダイナミック・パブリッシングによるPHPページ生成, PHP化が可能となりましたが、MTでは、グローバル変数ではなくスーパーグローバル変数の一部（$_GET、$_SERVER など）が使用されています。
よって、register_globals Off であっても作動しますので、Xrea.com さんなどのレンタルサーバでは、.htaccess を活用し、従来のグローバル変数使用を無効化することをおすすめいたします。

      php_flag register_globals Off
      php_flag track_vars On

の２行を .htaccess ファイルに追記し、WWWサーバ上のホームディレクトリ内などにアップロードします。
２行目の track_vars は、PHP 4.0.3以降の php.ini ではデフォルト onとなっているので、省略可能のようです。従来のEGPCS 変数は、グローバル連想配列 $HTTP_ENV_VARS, $HTTP_GET_VARS, $HTTP_POST_VARS, $HTTP_COOKIE_VARS, $HTTP_SERVER_VARS でそれぞれ参照するようになるとのことです(安全対策上)。