Movable TypeをCMSとして使用した場合の情報漏洩リスクについて
2013年03月21日
＊タイトルを少し修正しました
皆さんこんにちわ。
スカイアークエンジニア onagataniです。
先日の上場企業の情報漏洩の事件は上場企業の広報様を始め多くの関係者が驚いたかと思います。
実際に使用されたCMSや、情報（PDF？）を取得した方法については不明ですがMovable Type(以下MT)でも同じ問題が発生する可能性があります。
どういう事かと言うと、
MTに限らず大抵のCMSでは、記事には未公開設定があるにもかかわらず、アイテム（画像・PDFなど）には未公開設定がありません。
つまりアイテムは記事の公開設定と同じようにファイル名さえわかれば外部から閲覧可能な状態にあるという事です。
通常はファイル名がわからないので外部からは閲覧できませんが、ファイル名に連番などを使用していると容易に推測されて外部から閲覧されてしまいます。
扱いとしては会員制サイトでの画像と同じですが、なぜ今まであまり話題に上らなかったのでしょうか？
個人的には画像などのファイルへのアクセス制限を個別に掛けた場合のサーバ負荷が非常に大きい事と、この手の問題が現在まであまり取り沙汰されなかった事が原因かと推測しております。
また、あまり知られていませんがMTでは記事のプレビューを行うと、実際に公開設定（再構築）したのと同じようにプレビューファイル(mt-preview-xxxxx.xxx)を公開領域に生成しプレビューに使用しています。プレビューファイルは定期的に削除されるようですが、一時的に公開されている事に変わりはありませんので、情報漏洩の危険性があります。
対策ですが、SKYARCでは主に上場企業様への対応としてAssetPublicityとSafePreviewというプラグインを提供しています。
- AssetPublicity：アイテムは記事公開まで外部から閲覧できないように非公開にする事が可能（MT管理画面では閲覧可能）。
- SafePreview：プレビューファイルを外部から閲覧できないようにします
御社のサイトは大丈夫ですか？
これらのプラグインを導入する事でMTからの情報漏洩を防ぐ事が可能です。
残念ながらオープンソースで公開していないのですが既に多数の大企業様への導入実績があります。
興味のある方は弊社営業までご連絡下さい！
「AssetPublicity＆SafePreview」 40％OFFキャンペーン実施中！
＞＞キャンペーン詳細はこちら ※キャンペーン期間：2013.7/3(水)～2013.8/30(金)