セキュリティ軽視のつけ、エンジニアギルド

セキュリティの話

今から約半年ほど前に引き受けた案件。
今や、ほとんど見張ってません。終わったから。

非常に大きなシステム規模を持つところの１部署で、
簡単なWebシステムを御所望というお話。
弊社の顧客でありWebシステムを収めているところ
からの要請です。

私の会社は所謂インフラ担当だったので、最初に
WEB/RDBMの物理的分割要求には面喰いました。まあね
正しいアプローチだし、作業が増えるだけで大変じゃないから
収めてからはニヤニヤしてたけど、ほんとうに大変だったの
はPHPのコードレビューつまりセキュリティに対する注文でした。

私の直接顧客の書くPHPのアプリケーションは、
もともとPHP4からの結構穴だらけなもの。
私自身は、修正に手を出したくないレベルです。

私がレビューする側だったら、サーバシステム本来の
脆弱性なんかも審議の的にするでしょうけど、
それ以上にシビアだったのは、運用面での、データダ
ンプ処理のあり方ですかね。　ここが狙われると情報が
ダダモレちゃうということです。

一切のデータダンプをWeb側に置くなというポリシーを
理解するまでPHPコードの設計者が１ヶ月頭捻り通し。

まぁ、私が抜け道を数案提案してある一案が採用なった
から良いけれどそーでなかったら大騒ぎだった(笑）
そうそう暗号化メールとかは一笑に付されましたね。
SSLで特定のサーバとしか通信できないシステムだって
作れるSMTPサーバも拵えることは可能だし、メール
だっていろいろあるんだけどという話は全く理解さ
れそうにないから省きました。面倒くさいしね。

まあ、真意は判らないけどDNSとSMTPの脆弱性はすでに
常識化、いやさISCの責任でもあるんですが、そーなると
HTTPSなら安全とかそれも根拠が薄いんですよエンド
ユーザ様。　SSL2.0の高速アクセレータと、かたやフリーな
実装のTLS1.0でも、https://～なもの扱いますけど
違いますよね。　EVな証明書であるとかないとかいろいろ
あるんですよね･･･。そこまで突っ込まれなかったから
命拾い･･･いやコストぎりぎり(笑）

　ほんと大企業が突きつける最低限のコンプライアンス
満たすって要求だけでも、簡単なWebとPHPで飯喰ってる
ヒトのほとんどが落第なんじゃないかと思った一瞬でした。

エンジニア･ギルド

　上の話で、ボクの付き合ってる先は、PHP専業なので
Javaや他のオブジェクト指向な言語使う人たちと違い
クラスはまだ使って無いです。
私は２年前からバンバン入れてますけどね。

加えて、お一人様開発には勿体無い位便利なsubversionだって
知らないし、集団でコード開発･レビューの体制って
出来るだろうけど、やっぱりパワーが足りないのですよね。

こういう複数人開発のルール作りのみならず、
今使ってるコンポーネントが、コミュニティであれ
ベンダーからであれ、サポートを受けられるバージョンで
あることは重要。　もう、PHP4.xで運用するのは辞めようよ。
私は面倒見切れない。

私も、個人的に多分ソフトハウスのシステム管理なら自分ひとり
切り盛り出来ちゃうレベルなんだけど、高々一人で出来ることは
限られている。チーム作りが大切だって事をそろそろ意識します。

ある意味で、まだエンジニア・ギルドに所属してないけど、
私の立場はまだジャンル横断型の冒険野郎バグライターなので、
何処にも所属できないというのが正直なところです。

誰か居ないかな～。