「a-blog」を含む日記

■[はてな統計]補足)はてなブックマークホットエントリ入りしたドメイン2009年〜2012年

http://anond.hatelabo.jp/20170220005414 の1年間隔のデータ。

はてなブックマークホットエントリ入りしたドメイン 2009年〜2012年

(※カッコ内は回数)

毎年3月の全ホットエントリを http://b.hatena.ne.jp/hotentry/20050215 から取得。タイルレイアウトで取得したので1日49件×31日で月間合計1519件弱のデータを基にしている。重複はuniqで取り除いてある。

Permalink | 記事への反応(3) | 19:00

ツイートシェア

■一体なんだよこの記事

http://webbingstudio.com/weblog/cms/entry-773.html

知ってか知らずかちょっとこの記事ひどいので、突っ込む。

共用SSL証明書が当たり前？

小規模の商用サイトでは、フォームを暗号化する際には、共有SSLを利用するのが当たり前となっています。独自ドメインのSSL証明書を取得すると、フォームを通して得られる収益よりも、維持費の方がはるかに高くなってしまうからです。

とこの記事では書かれていますが、一体どこで「当たり前」なんでしょうか？

SSL証明書の取得費用は、サーバーホスティングによって額がまちまちなのは確かですけれども、

安く独自SSL証明書を取得して利用できるサーバーホスティングは山ほどあります。

WEB制作者として「自分が良く知っているだけ」のサーバーのレンタルをクライアントに押し付けてはいませんか？

また、小規模商用サイトにしても、仮に年額35,000円のSSL証明書をつけ、かつ、月額3,000円のサーバーを借りていたとすると

月額でいえば6,000円くらいの負担ですが、

いくら小規模とはいえ、広報活動の中核をなすWEBサイトであるならば、

月額6,000円をペイできないとすると、

ちょっと商用サイトとしては破綻しているように感じます。

（というか、効果測定をしていないだけ？）

改ざんの認識

共用SSLのリスクに関して言えば、この記事が引用している、高木浩光氏の書かれている通りではあります。

cookieを取得できてしまうという点においては。ですね。

で、その部分の帰結が、完全におかしい。

cookieが取得できてしまう結果として、一番最初に狙われるのは、管理画面へのログイン。

いわゆるセッションハイジャックです。

ログイン状態を乗っ取られた時点で、どんなCMSでも、WEBサイトの改ざんは可能です。

なぜか。

CMSは「コンテンツをマネージメント」する仕組みで、

そのコンテンツは多くの場合MySQLに代表されるDBに保存してあります。

したがって、ファイルの改ざんなどを行わずとも、WEBサイトの内容は書き換えることが可能なのです。

WEBアプリケーションの仕組みに明るくない方が読むと

「なるほど」と思ってしまうかもしれないので、

早々に訂正していただきたい。

また、この記事にある a-blog cmsというCMSについてはよく知りませんが、

多くのモダンなCMSでは、ほとんどの管理画面ログインにおいて、

セッションハイジャックに対する防衛は行われていますので、

cookieの取得が、即WEBページの改ざんに繋がるような書き方も、

CMS利用者に対して、誤解を広げる結果になりそうですので、

ここも早々に訂正していただきたい。

CMSを過信していないか？

この筆者さんは、a-blog cmsというCMSを利用されているようだ。

このCMSはどうやら、PHP製ながらPHPのソースを暗号化しているようだ。

なるほど、それならばファイルの改ざんは確かに起きにくい。

が、それはあくまで起きにくいだけの問題。

こう言ってはなんですが、攻撃者にしてみれば、a-blog cmsを攻略するくらいならMovable TypeやWordPressを攻めた方が楽というものです。

この記述はむちゃくちゃである。攻撃者にしてみれば、誰でも手に入れられるCMSであれば、

ファイル構造の解析はそんなに難しい話ではない。

a-blog cmsの公式サイトを拝見すると、MySQLを利用しているようで、

ともすれば、インストールさえしてしまえば、

ファイルの暗号化はなされていようとも、DBの中身の仕様は丸見えだ。

前提条件として「知っている」「知らない」の差はあれど、攻撃に関して「ラク」というのは

どう考えても楽観的に過ぎる考えだ。

「安全」の認識

最後に突っ込んでおきたい。というか質問というか。

どうも「SSLで確保される安全の領域」について、かなり認識が甘いようだ。

SSLはあくまで、TCP/IPネットワークにおいて通信経路を暗号化するための技術だ。

通信する際に、通信先のサーバーが正しく認証されているかどうか？に必要なのはSSL証明書。

で、ここに書いたとおり、SSLはあくまでサーバーと利用者の通信においての暗号化だ。

この記事に書かれていることは「メールフォームについて」のことのようだが、

サーバーに到達したあとのメールについては安全性をかんがえていますか？

メールは全く暗号化されず平文で送信されるとても脆弱な通信手段だ。

いくらSSLで通信を暗号化しようとも、問い合わせフォームの送信がメールだったとすると…

外部から傍受される危険性が高くなります。

とこの記事ではかかれていますが、そもそもHTTPやHTTPSの通信を傍受するより遥かに

メールを傍受したほうがラクとも考えられるはず。

CMSを使っている方を非難するわけではないが、

CMSの機能に甘んじて、こういったベーシックな問題に考えが及んでいないとすると、

WEB制作者としては、ちょっと配慮が足らなくはないですか？

とおもう。

P.S SSLということばはもうないよ。

記事に対するつっこみではないですが、

SSLということばは、とても古い言葉です。

便宜上みんな「SSL」といっているだけで、

正しくは「TLS」でっせ。

Permalink | 記事への反応(0) | 19:02

ツイートシェア

■ビジネス書は買わないで、まとめだけ読めばいい

はてブでも昔から人気なのが、ビジネス書の書評。

いや、書評と言えるほど内容があるわけでもないので、要点だけ転載していく書き方かな。

はてブで目につく「個人」だと、「わかったブログ」ttp://www.wakatta-blog.com/や、

「smooth＠マインドマップ的読書感想文」ttp://smoothfoxxx.livedoor.biz/などがある。

ウケそうなフレーズを本から引用して、それに対して一言二言添えていくやり方。

まとめる人の能力ははっきり言って要らないし、その割に読む方からしたら楽しめるから、

なかなかニーズがあるみたいだ。まとめのセンス的なものは、２ちゃんのまとめとかに近いと思う。

特に、オリジナリティはないわけだし。

これを組織でやってしまおうというのが、「ブクペ」ttp://bukupe.com/

ビジネス書の要点まとめサイトって感じなんだけれど、著作権的にも良いのか悪いのか分からんぐらい

まとめてある。記事書いた人には、アフィリエイトから収益を分配する仕組みになっているらしく、

いまいち人の来ないブログを運営している人から見ると魅力的なのだろう。はてブ層にもウケが良いみたいで、

最近目に入るようになってきた。

ビジネス書って、要点を例え話などで広げて一冊にしているようなものなので、

要点だけ抜き出すと、ある意味それだけで済む。この辺が、他のジャンルと違う。

漫画や小説など要点だけ書きだしてもつまらないし、料理本やIT本でも同じことだろう。

だから、ビジネス書が好きな人は、今度からビジネス書を買わずにブクペを見れば済む。

そして、その分のお金は貯金しましょう。

Permalink | 記事への反応(1) | 16:46

ツイートシェア

■はてブのusersの合計がおかしい…と思ったらネガコメ封殺機能？だった

以前増田でも話題になった「わかったブログ」のとあるブックマーク一覧ページを見ていて、ある事に気づいた。

http://b.hatena.ne.jp/entry?mode=more&url=http%3A%2F%2Fwww.wakatta-blog.com%2F90.html

全部で416usersのはずなのに、一覧での公開（283）・非公開（131）の数を足すと、414にしかならない。

消えた2usersはどこへ？

http://hatebu-graph.com/graph/ce1be94b1127dfc868c49fc16dca6d3c39591926

これと比較して、消えた2usersを探した。

http://b.hatena.ne.jp/yoshi84/20110428#bookmark-40083554

yoshi84 ビジネス, マーケティング, ネタ 「毎回セールスをしているブログがなんと多いことか」こう書いてある下にさっそくアフィリエイト貼ってある件…いや別に否定しません。むしろそう書く方が… 2011/04/28

http://b.hatena.ne.jp/testa_kitchen/20110427#bookmark-40083554

testa_kitchen twitter投稿用 またひとつ「気づき」という言葉を積極的に使っているサイトはやはり胡散臭いサイトであるという気づきをいただきました(迫真)ちなみにリンク先は釣りタイトルのコピペ記事なんで見なくて大丈夫です 2011/04/2

はてブに、荒らし対策の強制非表示や一覧ページ非表示機能があるのは知ってたけれど、

個別のネガコメ封殺機能？があったとは知らなかった。どうやるのだろう。

それとも、ただの不具合とか偶然なのかな…？

（追記 4/29 14:51）

このページも合計があわない。

上で出したyoshi84氏はここでは一覧に入っているので、idを見るのではなくコメント単位なんだろう。

http://b.hatena.ne.jp/entry?mode=more&url=http%3A%2F%2Fwww.wakatta-blog.com%2Fpost_599.html

（追記 4/29 15:19）

もっとあっていないページを見つけた。53usersに対して合計が37+7=44しかない。

http://b.hatena.ne.jp/entry?mode=more&url=http%3A%2F%2Fwww.wakatta-blog.com%2Fpost_601.html

本来の一覧。

http://hatebu-graph.com/graph/0ea7ad1e10429338f1ab53971132fdc87566fd79

一覧から見れないコメントの例

http://b.hatena.ne.jp/north_god/20110423#bookmark-39436142

north_god 社会, 政治, 労働 性別で役割を固定することはないけど、分担するのが効率いいと思うけどねえ。コスト全投入しないと回らない社会のがおかしくね？両親でも足りなくなったら次は誰を働かせるの？ 2011/04/23

http://b.hatena.ne.jp/enderuku/20110422#bookmark-39436142

enderuku この本読んだけど、景気が良くなっても老人から若者への所得移転が無いと意味が無いと書いてて、女性の社会進出はそれほどページ割いてなかった気がする。 2011/04/22

http://b.hatena.ne.jp/masudami/20110422#bookmark-39436142

masudami 何で労働力の問題をこうゆう風にすりかえるんだろう。専業主婦/夫のままでもいくらでも社会に「進出」できるのに...「主婦は数字に疎いから働くべき」ってゆう猪瀬と根っこはおんなじじゃん。 2011/04/22

…。

ネガコメ…いや、「自分に不都合なコメント」の非表示機能、というのが有料オプションにでもあるんだろうか？

真剣にヘルプを探したけれど、見つからなかった。

ちなみに、Chromeの拡張機能から見ると、全部ちゃんと見える事を今発見した。

訳が分からない…。

Permalink | 記事への反応(0) | 10:45

ツイートシェア