質問: 2つ疑問点があります。 1つ目は自動pullをするphpファイルの置き場所 パーミッションについて悩んでいる状態です。 要件としてはできるだけセキュアにしたいと考えています。 現状wordpressなので Username/public_html/wp-content/githubに配置して 動作させることはできました。 Username/public_html/wp-content/github直下にした理由は ・wordpressのコアアップデートの影響を受けない。 ・Xserverで初期に割り当てられるUsername/scriptというディレクトリは 基本的にいじるところではないとサポートの方に教えていただいた。 ということを考えて配置しました。 githubディレクトリには参考ページ同様 ベーシック認証をかけております。 2つ目はXserverがpullする際のsshキーについてです。 参考ページにあります通りの手順で Xserver内にssh接続した状態で以下のコマンドを実行しました。 ``` ssh-keygen -t rsa ``` その結果 ~/.ssh/id_rsa というファイルがある状態で .sshは700、id_rsaは600というパーミッションです。 プライベートキーがリモートサーバ(本番環境)にある状態だと思いますが これはリスクがあるのではないでしょうか。 このような状態で運用した際に、自分には見えていないリスクがあれば 突っ込んでいただきたく質問をさせていただきました。 またもっといい方法がありましたら そちらもご教授いただければ幸いです。 よろしくお願いいたします。
回答: セキュリティは結構コストがかかるので、バランスをどうとるのか悩ましいところかと思いますが、**できるだけセキュア**とのことであれば、専門家に相談するのが一番かと思います。 > > 1つ目は自動pullをするphpファイルの置き場所 > > パーミッションについて悩んでいる状態です。 > > > .sshは700、id_rsaは600というパーミッションです。 > > プライベートキーがリモートサーバ(本番環境)にある状態だと思いますが > > これはリスクがあるのではないでしょうか。 > > > まず入り口での防御が重要です。 ・アクセス制御 ・firewall ・ログ監視・アクセス監視 ・脆弱性チェック ちょっと古いですが、IPAさんを参照するとかIPAさんを含め信頼できる情報をウォッチするのが良いです。 その上で思いつくままに、列挙 * 参考サイトにパスフレーズはうまくいかなかったからつけないと記載されていますが、きちんと適切な長さのパスフレーズを付与しましょう キー作成でrsaで本当に良いのか確認しましょう https://www.slideshare.net/hnw/edomaesec-20150124 http://mashi.exciton.jp/archives/250 * selinuxを有効に * webと管理用(git含む)とを別のネットワークに(物理的に分けるのが望ましいが、ポートを分けるでも良いかも) そして、管理用はソースなどでフィルタ githubもAPIを利用することでIPを特定可能 https://help.github.com/articles/about-github-s-ip-addresses/ https://developer.github.com/v3/pulls/ アクセストークンの権限を絞ることでさらにあんしん