MT4iの管理者モードが持つセキュリティ上の問題点について/2.1β1 公開開始

| コメント(1) | トラックバック(5)

というわけでお待たせしましたβ1ですが、今回は重大なお知らせがあります。2.0で管理者モードを使用されている方、一度でも使用された事のある方はすぐにこのβ1へバージョンアップされる事をおすすめします。理由は以下。

MT4iは管理者モードにおいて、暗号化したパスワードをURL引数にてやり取りしています。この為、管理者モードにて記事等閲覧中、外部へのリンクをクリックして遷移するとリファラとして管理者モードのURLが遷移先へ知らされることになってしまいます。遷移先がリファラを公開などしていた場合、不特定多数の者に貴方の管理者用URLが知られてしまう事になります。また、運悪く検索エンジンのロボットの巡回先に含まれてしまうと、ロボットが巡回する度にエントリが消えていくという現象も発生します(実際に報告あり)。

これらセキュリティの問題についてβ1では、

  • 管理者モード時には「Powered by 〜」にリンクを張らない
  • 管理者モード特有の機能について、リンクをやめてボタンでの遷移に変更

といった対策を施しています。

以上の理由から、未だβ版ではありますが、MT4i全ユーザに2.1β1へのバージョンアップを強くおすすめいたします。と同時に、パスワードの変更を強く推奨します(既にロボットに補足されている可能性がある為)。

ただし、2.1β1にバージョンアップしたからといって、セキュリティが万全になるという事ではありません。ロボットによる巡回でエントリが消える事はなくなりますが、管理者モードにて不用意にリンクをクリックすれば遷移先に管理者用URLが知られてしまう可能性があります。セキュリティを万全にする為には管理者モードの考え方を根本的に変える(管理者用の機能は全く別物として切り出すとか)必要があり、そう簡単に対応する事が出来ません。申し訳ございませんが、その辺りは使用される皆様に気をつけていただくしかありません。

以上のような問題点について、お知らせが遅くなりました事を心よりお詫び申し上げます。

また、2.1β1のその他の主な機能追加・変更点は

  • 3.2対応
  • サブカテゴリ対応

などとなっております。詳細は以下をご覧下さい。ダウンロードも以下よりお願い致します。

トラックバック(5)

トラックバックURL: http://www.hazama.nu/mt/mt-tb.cgi/2521

talk to oneself 2: MT4iの管理者モードが持つセキュリティ上... 続きを読む

との記事をTALK TO ONESELF2様のブログで見かけたので 早速実行。... 続きを読む

風邪でダウンしている最中に ML に流れた話題で、反応するのが遅くなりました。 ... 続きを読む

MT4iの2.1ベータが公開されたというのがMT4iのMLに流れたのでよく読んでみたら、 どうやらMT4iの2.0の管理モードにセキュリティ上の重要な問題があったようです。 talk to onese... 続きを読む

talk to oneself 2: MT4iの管理者モードが持つセキュリティ上の問題点について/2.1β1 公開開始 という訳で、バージョンアップを推奨されていたので、 今回2.1β2(更にバージョンアップしていた)に差し替えました。... 続きを読む

コメント(1)

開発お疲れさまですー。
もうなんか僕にとっては、存在を忘れてしまうくらい、
デフォルトなプログラムになってますが。
忘れずにバージョンアップします。

コメントする

月別 アーカイブ

ウェブページ

OpenID対応しています OpenIDについて
Powered by Movable Type 5.12

Follow Me

AD

Flickriver::Most Interesting

tai-tetsu - Flickriver

このブログ記事について

このページは、太鉄が2006年2月15日 22:58に書いたブログ記事です。

ひとつ前のブログ記事は「W-ZERO3からMT2.661への画像投稿」です。

次のブログ記事は「大阪から名古屋へ移動ですよ朝一で」です。

最近のコンテンツはインデックスページで見られます。過去に書かれたものはアーカイブのページで見られます。