登録システムを作成する際の注意するべきこと

Question

###前提・実現したいこと
現在PHPにて会員登録システムを作成しています。
その際にセキュリティについて注意しておくことがわかりませんので質問させていただきます。

XSS対策,SQLInjection対策はしてあります。
他に対策するべき点はありますでしょうか？

よろしくお願いします。

Answer 1

いいまとめを書いてくれている方がいますよ。

また、少し難しいですが、セキュリティチェックツールを使われたほうが再テスト等も楽ですし、安全ですよ。

Comments

[退会済みユーザー]

チェックツール!
こんなものがあるとは知りませんでした。ありがとうございます。

Answer 2

te2ji さんが書かれているように、要件の方が大事ですね。SQLインジェクションとかXSSの対策は、全ての機能に必要な対策であって、登録システムに特有の話ではありません。

以下は、私の書いた本からの抜き出しですが、te2jiさんの書かれているログの問題とかもありますね（ログは別の章に書いたので以下にはでてきません）。

ユーザ登録

• メールアドレスの受信確認
• ユーザIDの重複防止
• ユーザの自動登録への対処（任意）
• パスワードの要件チェック（もちろんユーザIDの要件チェックも）

パスワード変更

• 現在のパスワードを確認する（再認証）
• パスワード変更時にはメールでその旨を通知する

メールアドレス変更

• 新規メールアドレスに対する受信確認（前項参照）
• 再認証（前項参照）
• メール通知（前項参照）

パスワードリセット機能
※複雑なので省略

著名なウェブのサービスを使ってみて研究をされるとよいと思います。

Comments

[退会済みユーザー]

回答ありがとうございます。
リセット機能などは考えていませんでした。実装してみます。

Answer 3

アカウントのシステムならば、パスワードのハッシュ保存をしておくべきだと思われます。
というのも、入力されたパスワードを平文で保存している場合もしなんらかのタイミングでパスワードが流出した場合、ユーザーがパスワードを使いまわしている他のサービスも軒並みやられてしまいます。
しかしサルトを付けて一方向関数にぶち込んで保存しておけば元の平文は推測されないのである程度安全性が高まります。
もちろんパスワードを盗まれないのが最善ですけどねｗ

Comments

[退会済みユーザー]

回答ありがとうございます。

パスワードをハッシュ化するのは全く考えていませんでした。
実装させていただきます。

[退会済みユーザー]

あと、サルトと説明したように、ただハッシュするのではなくパスワードを二回文字列連結させてその後にシステム固有の文字列などを連結させることをおすすめします！
そうすれば同じハッシュ関数でもさらに強くなるので！
で、ログイン時に入力された文字列をまた同じ関数に突っ込んででた値をDBに保存している値と称号してみれば良いと思います！
頑張ってください！

[退会済みユーザー]

そこまでは全く考えていませんでした。チャレンジしてみます。

[退会済みユーザー]

頑張ってくださいb

[Zuishin]

b というのはビッチを意味することがあるので気を付けましょう。

[gallu]

PHPですと、パスワードの保存には「 password_hash()関数 」が大変に便利です。
こちらの関数はPHP5.5.0以降、ですが、それより低いバージョンでも https://github.com/ircmaxell/password_compat こちらを使って使用できるので、PHPであれば、よほど特殊な理由がない限りは、上述を強くお勧めいたします。

なお比較は password_verify() 関数を使うので、その点だけご注意いただけるとよいか、と思います。

[退会済みユーザー]

password_hash()なんてものがあるんですね。知りませんでした。
ありがとうございます。

[workaholist]

どうでもいいかもしれませんが、サルトでなくソルトですよね。
ハッシュ、ソルト、ストレッチングでパスワード管理が良いと思います。
https://www.websec-room.com/2013/02/27/246

Answer 4

がると申します。
ベストアンサーがついた後の回答で恐縮ですが、よろしかったら参考程度、まで。

もしお仕事で作成をなさっているようであれば。法的な理由も含めて、IPAの
安全なウェブサイトの作り方
の中にある、
安全なウェブサイトの作り方
安全なSQLの呼び出し方
セキュリティ実装 チェックリスト
あたりをチェックされてみるのも、あるいは有益かもしれません。

以上、なにかの参考にでもなれば幸いです。

Comments

[退会済みユーザー]

回答ありがとうございます。サイトを参考にしてみます。

Answer 5

コーディングを気にするより先に、セキュリティ要件を整理することが必要です。

たとえば、
・登録内容はどういったもので、どのような制限を設けるか
・制限を違反した場合、どのような対応を取るか
・どういったログをとり、それをどのように利用するか
等々、要件をまず決めないと、システムとしてのセキュリティを考えることが出来ません。

セキュリティ要件が決定されてはじめて
・登録内容として数字だけとし、その制限をフロントとサーバサイドの両方でかける。
・違反者は10分間アクセスできなくする
・制限に引っ掛かった場合のみ、ip アドレスとアクションをセットでログとして残す。
といった設計ができるようになり、それをコードに落とすことが出来ます。

まずはどういった要件が必要か洗い出す必要があります。

あまり役には立ちませんが、以下のサイトで雰囲気をつかむことはできるかと思います。
セキュリティ要件確認支援ツールの公開

** 追記 **
記述した要件はどちらかと言うと要件から生まれる仕様に近いので適切ではなかったかも。
記述したかったのは、まず「要件ありき」でシステムを作らないと、良い方向のモノが出来ないということです。

Comments

[退会済みユーザー]

回答ありがとうございます。
要件整理ですか。全くしていませんでした...今後していくことにします。

Answer 6

わりかし、最近話題になった。ShellShockとかもですかね？OSコマンドインジェクションに近い物がありますけど。

Comments

[退会済みユーザー]

こんなものがあるなんて全く知りませんでした....ありがとうございます