【Rails】データーベースのセキュリティーについて

Question

はじめまして、現在2ch風の掲示板を製作しています。

個人にそれぞれ、ハッシュ化されたip、日付、スレurl、ランダムな一桁（１日おきに変わる）の４つから抽出した文字列をbase64でエンコードした値の上８桁をIDとして付与しようと考えています。

2ch同様ユーザー作成の必要はなく、
投稿モデルにIPとIDのカラムを製作しようと思っています。

質問

• リストデーターベースに侵入される可能性はありますか？想定される手段も教えてください。
• リストIPアドレスをデーターベース侵入者に盗まれた時、法的損害をユーザーに支払う必要はあるのでしょうか？（プライバシーポリシーでの対応もしりたいです）

Answer 1

サーバに侵入されるケースについて

サーバのOSが何にするのかは分かりませんが、一般にはLinux系(CentOSなど)になるかと思います。
ブルートフォースアタックなどでSSH経由でログインされてしまうケースが簡単に思いつきます。
パスワード認証ではなく、鍵認証にする。
ポートをデフォルトの22番から別の番号にする。
rootによるログインを禁止する。
ログインできるユーザを限定する。
という事は最低限したほうがいいですね。

IPアドレスについて

IPアドレスだけで個人を特定する事は出来ません。

IPで分かる事、分からない事はこのページが分かりやすかったのでご参照ください。
IPアドレスから個人情報はどこまでわかる？ | IPラーニング

この程度の情報が漏れたところで、ユーザに何かを支払うなどという事はあり得ません。

Comments

[yuta_tokyo]

mingos様
いつもありがとうございます！
レンタルサーバーを使用する場合に考慮すべき点はIDとPASSしかないでしょうか？？

[mingos]

仕事でWebサービスを開発、管理していますが、セキュリティ専門というわけではないので、IDとPASSでのログインをやめるのはまず大前提かなと思います。
IDとPASSでログイン出来てしまう場合、ランダムに作ったIDとパスワードによる連続ログインが防げません。

ただ、レンタルサーバによって管理者権限がもらえない場合もあるかもしれないので、これを設定できないケースもあるかもしれません。
自分はVPSを借りていますので、なんでも自分で設定できるのですが、
レンタルサーバだと会社ごとに異なりそうです。