セキュリティと Apache：初級必読本 1

マックスウェルの悪魔と善悪の区別

「遠いむかし、遥かかなた
あるときマックスウェルは気がついた。
またとないほどすばやくて、原子の流れに追いつくほどの
そんな悪魔が必要だ。
熱い空気を揺り動かし、自然の法則に逆らって
熱がどこにでも行くように。
マックスウェルの悪魔よ、現れたまえ、救いたまえ」
-- Christopher Stasheff 『Her Majesty's Wizard』より

勝ち目があるとすれば、本当にインターネットへ公開したくないページは、 あなたの Web サイトにはたった数ページしかないということだ。それらのページを、 善人からのアクセスを妨げずに、悪人の奴らから隠しておくにはどうすればいいのだろうか?

Apache のセキュリティでも防げないこと
この記事を書いていた当時 (2000 年 2 月)、大手の Web サイトがサービス拒否 (DoS) 攻撃によって一時的に ダウンしたという、たくさんのニュースが報道されていた。

このとき問題になったような種類の攻撃は、たとえ Web サイトを標的としたものであっても Apache では防ぐ ことができない。 Apache はシステムで動作するソフトウェア アプリケーションにすぎないず、攻撃はシステムそのものへ向けら れているからだ。

次のような指摘がある。 「もし1GB/s のデータがサーバーへ向かえば、Apache がそれらのパケットを受け取る前に、システムのパイ プは飽和状態になってしまうだろう。」

しかし、そのような極端な場合を除けば、Apache に実装されている Web セキュリティ機構は、正しく設定 すれば重要なページを保護するには十分すぎるほどだろう。

前提事項
この記事では、以下の前提のもとに話をすすめる。

1. Apache のソース ツリーが ./apache-1.3/ から始まること
2. Apache の ServerRoot が /usr/local/web/apache であること
3. Apache の DocumentRoot が /usr/local/web/htdocs であること
4. Apache が実行されるときのユーザー名 (httpd.conf ファイルの User 指示子 の値) が nobody であること

記事中で cd や他のシェル コマンドでディレクトリを参照する場合は、上記の場所が使われ る。

次は 強制/任意アクセス制御 >>

• 新聞広告が動く！--11日の読売新聞朝刊に、AR を応用したドコモなどの広告 08:30
• 次のフライトでお好みの座席が空いたら教えてくれる「Expert Flyer」 06:00
• 【Android Dev 101】4分で作る Android アプリ「Hello World」（英語版ビデオによる解説） 06:00
• 4ヶ月連続 MNP 転入数首位の au、人気ブランドを揃えたラインナップ拡充が功を奏す 2/10
• 「ジブリみて ツイッターおちてる 『バルス』コワッ」…オタク川柳大賞、最終選考作品を発表--一般投票も開始 2/10
>>その他の新着ニュース・コラム

• アジアパシフィックにおけるソーシャルメディア・トレンド〜グローバルな視点、ローカル市場での現実〜 (ネットレイティングス株式会社)
• 【プレジデント・gooリサーチ共同】時間の使い方に関するアンケート (NTTレゾナント株式会社)
• 情報共有と業務効率化を実現するためのお手軽グループウェア (リスモン・ビジネス・ポータル株式会社)
• Yahoo!検索プラグイン開発マニュアル (Yahoo! JAPAN)
• 「暗号の2010年問題」対応ガイド〜サーバ管理者のためのチェックリスト10項目〜 (日本ベリサイン株式会社)