2024年5月時点の情報を取り扱っています。

# CMSの頂点に立つWordPress
CMSとはコンテンツマネジメントサービスの略で、ブログなどのコンテンツを管理するためのサービスです。 
そのCMSの中で、世界で最も利用されているのがWordPressです。 
2023年時点の(全ウェブサイトにおける)シェアは、42.7%です。 
2011:13.1%、2012:15.8%、2013:17.4%、2014:21.0%、2015:23.3%、2016:25.6%、2017:27.3% 
2018:29.2%、2019:32.7%、2020:35.4%、2021:39.5%、2022:43.2%、2023:42.7% 
 ![](https://cont.sterfield.co.jp/uploads/330338879_8afec5da_55d1_4635_a223_7a3d36feee6a_26b1038700.png) 
 
[引用元](https://kinsta.com/jp/wordpress-market-share/)
 

## シェアNo.1だから狙われやすい
悪いハッカー目線で見ると、脆弱性1つを見つけたら、そこを同じように他のサイトにも同じ手法で攻撃できます。 
横展開が楽ですよね。ハッキング、ダメ、ゼッタイ。 
また、WordPressはオープンソースで汎用性が高く、且つプラグインで拡張性も高い反面、攻撃者が脆弱性を見つけ出して狙いやすいという面があります。
そのため、WordPressを用いたサイトが狙われやすいのです。 

## 例1.アップデートを行わないプラグインはマジやばい(SQLインジェクション)
2022年にはプラグイン「OneTone」の脆弱性を突かれたSQLインジェクションによるデータベースへの攻撃がありました。 
これにより、リダイレクトで他のサイトへ飛ばすコードを埋め込まれるという被害を受けたサイトが大量に発生しました。 
更に厄介なことにこのプラグインは開発者がアップデートを行わず、脆弱性に対抗する手段がなくなってしまったため、もともとOneToneを使用していたWordPressサイトの管理者は他のプラグインへの変更をせざるを得ない状況になってしまいました。 
[引用元](https://wp-doctor.jp/blog/2020/04/24/%E3%83%86%E3%83%BC%E3%83%9Eonetone%E3%81%AB%E8%AA%8D%E8%A8%BC%E4%B8%8D%E8%A6%81%E3%81%A7%E3%83%87%E3%83%BC%E3%82%BF%E3%83%99%E3%83%BC%E3%82%B9%E3%82%92%E6%9B%B8%E3%81%8D%E6%8F%9B%E3%81%88%E3%82%8B/) 
便利だからこのプラグイン使っちゃおというのは良いですが、そのプラグインの脆弱性について調べてみてください。 
また、定期的に更新をチェックした方が良いです。 

## 例2.使わないファイルは無効にしないとマジやばい(xmlrpc.php攻撃)
xml-rpcは、遠隔でWordPressと通信をするための仕様の一つで、WordPressのモバイル用アプリ・Wordからの投稿・ピンバックやトラックバックの利用で使われています。 
これらの機能を利用している人には必要かもしれませんが、それ以上にセキュリティの穴になってしまうことのほうが重大だと思いますので、できるだけXML-RPCは無効化したほうがいいでしょう。 
### なぜXML-RPCを無効化したほうがいいのか
1. ピンバックを利用したDDoS攻撃
ピンバックとは、自分のサイトのURLが他のWordPressサイト上でリンクが貼られたことを自動的に通知してくれる機能ですが、それを悪用してDDos攻撃を仕掛ける事例がありました。 
なお、DDoS攻撃される側ではなく、DDoS攻撃に意図せず加担しているサイトとして、いわゆる踏み台として利用されてしまいます。 
※DDos攻撃とは、複数のコンピュータからひとつのサーバやサイトへ一斉にデータを大量送信することでアクセスダウンさせる攻撃のことです。 

2. XML-RPCを利用したブルートフォースアタック
XML-RPCに対して適当なログイン情報（ユーザー名・パスワード）を投げ続けて、ログインできる情報を不正に入手しようとする事例がありました。 
その後、悪意のあるファイルを設置したり、本来の管理者がログインできないようにしたりする攻撃が多いです。 

具体的なXML-RPCの無効化については、[別のサイトで記述があったので、こちら](https://wordpressdeec.jp/howto/howto-040/)を参照ください。 
近年では、xml-rpcを使わず、同等のことができる「REST API」を用いていることが増えています。 

## まとめ
手軽さやドキュメントの多様性など便利な面の多いWordPressには、セキュリティの脆弱性がまだまだあるということを知ってもらえたら嬉しいです。 
その脆弱性を知ることで対策ができます。(知らないとできません。知らないではすみません。) 
ものによっては、WordPress側で事前に対策しておけよとか、思う部分もあるかと思いますが、一つ一つ丁寧に設定して安心のサイト作りを心がけていけたらいいなと思います。 
日々アップデートを頑張っていきましょう！

wordpress-581849_1280.jpg

知らないとマジやばいセキュリティ【WordPress編】

パスワードはもう古い！

近年、パスワードの管理が煩雑化し、漏洩による被害も増加しています。そんな課題を解決するために注目されているのが、パスキーと呼ばれる新しい認証方法です。

## パスキーとは？

パスキーは、パスワードに代わる安全で簡単な認証方法です。指紋認証や顔認証などの生体認証、またはデバイスの画面ロック（PINなど）を使用してログインできます。

従来のパスワードと比べて、パスキーには以下の利点があります。

- 安全性が高い
- 使い方が簡単
- フィッシング詐欺に遭いにくい

## 今までも生体認証は普及していたよねという疑問
 ![](https://cont.sterfield.co.jp/uploads/FIDO_Alliance_Passkey_logo_834ac057c0.png) 
今までは、生体認証の機能など各社がそれぞれ独自に作り込み、また生体認証機能を提供する以下のようなソリューションなどを導入して対応が必要でした。
https://it-trend.jp/biometrics

パスキーは、FIDO Allianceという非営利団体によって策定された標準規格に基づいて作られています。
ここが今までと大きな違いと言えます。

それらがパスキーという標準規格によって、ようやく統一に向けた流れになったということです。

FIDO Allianceには、Google、Apple、Microsoft、Amazon、Facebookなど、100社以上の企業が参加しており、パスワードに代わる新しい認証方法の開発と普及を推進しています。

具体的なパスキーの開発は、各企業が独自に行っています。 例えば、GoogleはAndroid OSにパスキー機能を組み込み、AppleはiOSにパスキー機能を組み込んでいます。

パスキーは、オープンな標準規格に基づいているため、異なる企業が開発した**パスキーを相互利用することができます**。 つまり、Googleアカウントで作成したパスキーを、Apple IDでログインする際にも利用することができます。ここが非常に大きなポイントです。また、Apple端末であれば、iClouｄにパスキーが保存されるので、機種変更をした時や、iphoneとiPadでデバイス越しに利用するといったことも可能になります。    

## パスキーの仕組み
 ![](https://cont.sterfield.co.jp/uploads/what_is_fido_fingerprint_authenticator_50ce1d0201.svg) 

パスキーは、公開鍵暗号方式と呼ばれる技術を採用しています。この方式では、ユーザーはサービス利用開始時に、公開鍵と秘密鍵のペアを作成します。公開鍵はサービス提供者側に登録し、秘密鍵はデバイスに保存します。ログイン時には、デバイスに保存された秘密鍵を使用して、サービス提供者側の公開鍵を認証します。

## 対応サービス

2023年12月現在、多くの主要サービスがパスキーに対応しています。

### アカウントサービス

- Googleアカウント
- Apple ID
- Microsoftアカウント
- GitHub
- Twitter
- Facebook
- Amazon
- 楽天
- Yahoo! JAPAN

### パスワード管理サービス

- 1Password
- LastPass
- Bitwarden

### ブラウザ

- Google Chrome
- Microsoft Edge
- Apple Safari
- Mozilla Firefox
- その他
- WordPress
- Shopify
- Cloudflare

## Googleのパスキー設定方法
上述のように、主要なサービスにはパスキーが普及している状態ですが、Googleは2023年の5月からパスキー対応をリリースしたとのことです。

パスキーの設定は改めて行う必要があり、以下で手順をご紹介します。
筆者自身もこの記事を書くまでGoogleアカウントへのパスキーの設定は行なっておらず、幾度となくパスワード入力を行なっておりました。

1. パソコンでChromeブラウザを開きます。

2. Googleアカウントにログインします。

3. 画面右上のプロフィールアイコンをクリックします。

4. メニューから「パスワードとセキュリティ」を選択します。

5. 「パスワード」タブをクリックします。

6. 「パスキー」の項目で「開始」をクリックします。

7. 画面の指示に従って、パスキーを設定します。

### パスキー設定時の注意事項

パスキーを設定するには、Android 7.0以上またはiOS 15.0以上のスマートフォンが必要です。
スマートフォンにGoogle認証アプリがインストールされている必要があります。
パソコンとスマートフォンが同じWi-Fiネットワークに接続されている必要があります。
パスキー設定後の利用方法

パスキーを設定後、対応するウェブサイトやアプリにログインする際は、以下の手順でログインできます。

1. ログイン画面で「Googleでログイン」を選択します。

2. パスキーを選択して認証します。

3. スマートフォンで本人確認を行います。

### パスキーの利用に関する情報

Googleアカウントのパスキー: https://support.google.com/accounts/answer/13548313?hl=ja  
パスワードの代わりにパスキーでログインする: https://support.google.com/accounts/answer/13548313?hl=ja

## 今後

パスキーは、パスワード認証に代わる新しい認証方式として、今後ますます普及していくことが予想されます。

### 参考情報

Passkeys: A new, more secure way to sign in to websites and apps:  
https://support.apple.com/en-us/102195  
What are passkeys?:   
https://blog.google/inside-google/googlers/ask-a-techspert/how-passkeys-work/  
FIDO Alliance Announces Passkeys: A New, More Secure Way to Sign in to Websites and Apps:  
https://fidoalliance.org/passkeys/
## まとめ

パスキーは、パスワードの代わりに使える新しい認証方法です。従来のパスワードよりも安全で使いやすく、フィッシング詐欺にも遭いにくいという利点があります。今後、ますます多くのサービスで対応が進められていくことが期待されています。

## 関連記事

https://www.japancv.co.jp/column/10227/  
https://duo.com/blog/webauthn-passwordless-fido2-explained-componens-passwordless-architecture. 

Company

Our Solutions

Support

News

Blog

Blogブログ

カテゴリーから探す

年別から見る

記事一覧 - タグ: #セキュリティ

2024/05/17

2024/03/08