CakePHPのセキュリティ対策全般について

Question

CakePHPで会員制投稿サイトの類を作る際に、考えなくてはならないセキュリティに関しての質問です。
一般的にどの程度の対策を施せばよいのでしょうか？

現在の自分の理解は、

ログイン機能をAuthコンポーネントを用いると良い
(SQLインジェクションを防いでくれる？)

セキュリティコンポーネントを用いることでCSRFに対する対策ができる

htmlentitiesやhtmlspecialcharsでエスケープすることで、XSSを防げる

くらいなものです。
この理解で間違っていないのか、またセキュリティコンポーネントを使うと他にどのような攻撃を防げるのか、
そもそもどの程度の堅牢さなのか、(カスタムしなければスッカスカなのか)
などをお聞きしたいです。

セキュリティ対策は終わりのないことだと理解はしていますが、最低限ここまでやっておく、などのボーダーラインはどの程度なのでしょうか？
セキュリティ初心者なので、色々なご意見、回答をよろしくお願いいたします。

Answer 1

Cakephpのどの機能が対応しているか簡単に記載します。不明な点については補足しますので聞いてください。なるべくどう対策されているか実験してみるといいと思います。

htmlentitiesやhtmlspecialcharsでエスケープすることで、XSSを防げる

基本的には、ビュー側のテンプレート等で変数を出力するときは、自分でエスケープする必要があります。
Cakephpではh()という関数が用意されているので、これを使えばいいと思います。
※なお、ヘルパーを使った場合、自動的にエスケープしてくれるものもあります。

セキュリティコンポーネントを用いることでCSRFに対する対策ができる

Cakephp3ではCSRFコンポーネントを有効にして、FormHelperを使うと自動的に対策してくれます。
Cakephp2以前はセキュリティコンポーネントの一部でしたが、独立しました。

ログイン機能をAuthコンポーネントを用いると良い

(SQLインジェクションを防いでくれる？)

ログインの部分だけを言えば、Authコンポーネントを使えば、自動的にユーザやパスワードが正しいかを確認するSQLを実行してくれるため、SQLインジェクションは防げます。それ以外のSQLについてはfindなどを使えば、パラメータをバインド変数で扱ってくれるので、防げます。ただし、自前のコードでSQLを文字列結合したりしてSQLを直接実行するような場合は防げません。マニュアル参照

セキュリティコンポーネントを使うと他にどのような攻撃を防げるのか、

セキュリティコンポーネントについてはマニュアルに詳細な記載があるのでこれをよく読むといい思います。特にフォーム改ざん防止は、利用者がフォームを改ざんして不正処理することを防いでくれるので、個人的にはとても便利だと思います。

---

ちなみに、自分は以下のようにすることが多いです。

• h()は、必要な箇所にはすべてやる
• なるべくヘルパーを使う
• CSRFコンポーネントとセキュリティコンポーネントは、原則すべてのフォームで有効にする
• フォームの入力値はバリデートする
• findなどのSQLインジェクションセーフな関数を使う

---

(追記) コメント欄の追加の説明をここに記載します

今使っているのはCakephp2.7.7なのですが、このバージョンでもフォームヘルパーを使えば自動でCSRF対策は行われるのでしょうか？

Cakephp2のCSRF対策は、Securityコンポーネントの一部なので、このコンポーネントを有効にすれば対策されます。出力されたHTMLの<form>内にtokenが追加されるので見てみたり、値を変更してpostしてみるといいと思います。

第二に、マニュアルを読んだのですが、フォーム改ざん防止のところに

•フォームに新規フィールドを追加することはできません。
•フォームからフィールドを削除することはできません。
•hidden フィールドの値を更新することはできません。
と記載されていますが、ラジオボタン、セレクトボックスなどは使うことができるのでしょうか？
（テキストしかダメということではないですよね？）

基本的にはFormヘルパーで出力したフィールドは大丈夫ですが、javascriptなどで動的にフィールドを追加するような処理があるなら改ざんをみなされてしまいます。そういう場合は、FormヘルパーのunlockFieldで定義しておけば回避できます。hiddenの更新もこれを使えばできるようになります。

htmlの書き方ではだめで、echo $form->createのようにフォームヘルパーを使わないとダメという認識でよろしいのでしょうか？

はい、基本的にformの出力は全部Fromヘルパーを使う必要があります。

また、mysqlからデータを取り出してくるのは、自分の場合はすべてfindでやっているので、既にSQLインジェクションの対策は施してあると捉えていいんですよね？

はい、いいと思います。試しにパラメータをもらうfindがあるなら、シングルコーテーションなどエスケープしないとエラーがでる文字を渡してみるとわかると思いますよ。

もしかしたら確認するまでもない初心者がにじみ出てる疑問ですみません、不安なもので。

必ずご自身でテスト（不正な処理を実施）してみるといいと、理解も深まりますし、不安もなくなると思いますよ

Comments

[tacchan]

とても丁寧な説明ありがとうございます。

イメージとしては、基本的なことを残さずやればよい、という印象を受けました。
ただ、疑問点が数か所あるのですが。

今使っているのはCakephp2.7.7なのですが、このバージョンでもフォームヘルパーを使えば自動でCSRF対策は行われるのでしょうか？

第二に、マニュアルを読んだのですが、フォーム改ざん防止のところに
•フォームに新規フィールドを追加することはできません。
•フォームからフィールドを削除することはできません。
•hidden フィールドの値を更新することはできません。
と記載されていますが、ラジオボタン、セレクトボックスなどは使うことができるのでしょうか？
（テキストしかダメということではないですよね？）
htmlの書き方ではだめで、echo $form->createのようにフォームヘルパーを使わないとダメという認識でよろしいのでしょうか？

また、mysqlからデータを取り出してくるのは、自分の場合はすべてfindでやっているので、既にSQLインジェクションの対策は施してあると捉えていいんですよね？

もしかしたら確認するまでもない初心者がにじみ出てる疑問ですみません、不安なもので。

[popobot]

回答欄に追記しました！

[tacchan]

新たな疑問に対しての回答、ありがとうございます。
一つ一つ丁寧に説明があり、とても安心できました。
これから実際に使っていきたいと思います。
その際に、躓いたときにはまたこちらに質問させてもらいますので、
もし見つけてお時間がありましたらご教授してくださると大変勉強になります。
今回はどうもありがとうございました。

Answer 2

多くの例が記載されているページです。
PHP開発エンジニア必読！最低限必要なセキュリティ対策

CakePHPとの関連は、Grep でもかければ、どの対策がどこに施されているかは自明でしょう。

Comments

[popobot]

grepをかければ本当にわかりますか？

[退会済みユーザー]

自分の場合、人に聞くより、自分の目で確かめて、実際に動かして検証しますし、そうしています。その方が確実に理解できますから。
技術者の態度としても、「最低限〜」というのは、自身の成長を妨げる気がするので、そのような考え方はできるだけしないようにというのを心がける。とくにセキュリティに関しては、自分の生み出したプロダクトに関しては責任がありますから、プログラムだけの知識だけじゃなく、当然インフラの知識も必要になるわけだし、フレームワークを利用するにしても、フレームワークのコアな部分でどんな処理が走っているのかとかわかっていないと怖くて使えません。

> grepをかければ本当にわかりますか？
わかるかどうか、やってみることがまず第一歩だと思います。

[popobot]

コメントありがとうございます。
回答した意図はわかりましたので、評価は戻させていただきました。失礼しました。

[tacchan]

とてもぶっきらぼうな回答ありがとうございます。
素晴らしいご考えの持ち主のようですね。頭が下がる思いです。

人に聞くより自分で確かめて検証する、という主張は一見正しいように聞こえます。
いや、実際正しいのでしょう。
しかし、このサイトを利用していくに当たって、あなたの主張が100％正しいものになると、「これを聞いたら馬鹿にされるかな」、「曖昧な表現しかできないけどこれを聞いたらダメなのかな」、という躊躇が蔓延してしまい衰退の一途を辿る可能性も考えられます。
流石にそんなことは起きないって？
そうかもしれませんね。しかし、初心者が聞きづらくなる環境になるのは否めないでしょう。

また話は変わりますが、
>技術者の態度としても、「最低限〜」というのは、自身の成長を妨げる気がするので
……わかっていますよ。
だから「セキュリティ対策は終わりのないことだと理解はしていますが」と前置きを書いたのですが、あなたの目には映りませんでしたか？
出来ることなら、国が運営するサイトのレベルのセキュリティを実装したいものです。
でも、それをここで質問して一体どれほどの人間が回答してくれるでしょうか？

あ、一人いましたね。Kosuke_Shibuyaという向上心の塊のような意識高い系のユーザーが。
ありがたいことです。

小学一年生が、テンソル解析の研究をしたい、といっていきなり、集合、コンパクトから教える人がどこにいますか？
足し算、引き算から教えていくでしょう。
それと同じことです。
ガイドラインを聞きたかったのです。しかも、本などではなく生の声として。

あなたの回答を読むと、まるで少女漫画のS系彼氏みたいですね。

壁ドンからの
「いいから俺の後ついて来いよ」

みたいな。これでキャーキャーわめくのは10代女子だけですよ。

なんとなく、テラテイルのバッジ集めを趣味にしてイキがっているおじさんという印象を受けます。

これ以上書いてもただの水掛け論になってしまいますし、あまり荒らすのもよくないので止めておきましょう。
世の中には色々な人がいます。ですが、自分のレベルが高いからと言って鼻で笑う、もしくは態度がなっていないとツンツン指摘するような態度は止めたいものです。
どのレベル、どの立場の人でも、その人自身にとっては精一杯頑張っている、悩んでいるという前提の下で交流したいものですね。
(私自身、あなたが引用したサイトのページはここに投稿する前に拝見してました)

この後、あなたも言い分はあると思いますが、私はこれで終わらせていただきます。
また、私とKosuke_Shibuyaさんの相性が良くないと思われるので、これ以降、私の質問への回答はご遠慮していただきたく思います。

最後に、コメント欄にこのようなことを書き込んでしまい、テラテイルの運営の皆様、申し訳ありませんでした。