Basic認証以外でのアクセス制限

質問

会員制のWebサイトを運営しています。これまでは同好会のようなサイトのため、Basic認証を使用してきました。

しかし、会員数が1万人を越えたため、そろそろセキュリティのことも考えなくてはならなくなり、何か別の方法を探しています。なお、私自身はWebデザイナーでプログラムは書けません。

一般的にBasic認証からのアップグレードではDigest認証になるらしいのですが、使用サーバがさくらのレンタルサーバ（ビジネスプロ）で、apacheが1.3xのためDigest認証は使用できないようです。

会員サイトへのログインについては、独自SSLを取得してログイン認証を暗号化してもいいと考えているのですが、Basic認証のままでは「ログアウト」がなく、共有PCなどではすべてのブラウザウインドウを閉じてもらうしかない点が不評です。PHPでセッションやクッキーを使ったものはどうかな？とも考えているのですが、今までのBasic認証で使ってきたパスワードファイルが流用できるかどうかがわかりません。

何かよい解決策や情報がありましたらお教えください。よろしくお願いします。

回答No.4

thezen5 · ベストアンサー

＞ログイン用のcgiかページ
ログアウトの間違いでした。
401ヘッダ+同じAuthNameで強制的に認証エラーを起こしてリセットできるのですが、ダイアログがでてうっとおしいですよね。
変則的な方法ですがこういうのはいかがですか？
ログアウト用のユーザを設定する。logout:logoutとか。
ログアウト用のディレクトリをプライベートエリア内に作り、.htaccessを

AuthType Basic
AuthUserFile パスワードファイル
AuthName "同じAuthName"
require user logout

とします。適当にログアウト画面の index.html を作ってそのディレクトリに入れます。
プライベートページにログアウトボタンをつけてリンクを
https://logout:logout@www.***.com/プライベートエリア/logout/
とします。(SSLの場合)
これで違うユーザがセットされてプライベートエリアで再度認証を求められます。
ログアウト用のパスワードファイルは別個に作ったほうがいいでしょう。
同じファイルだと require valid-user のときに解除できないので。

ログアウト用パスワードファイルを自分で作るときは以下をテキストファイルに書いて保存
logout:loNScApf9qjGc

お礼

なるほど。変則的な方法ですがBASIC認証を使い続けるなら、こういう方法しかないかもしれないですね。
再ログインのダイアログは、できれば避けたいですし。
どうもありがとうございました。

回答No.3

thezen5

現在のリソースを生かすとしたら、SSL導入でログアウトの機構だけ付ければいいんではないでしょうか？

以下を参考にログイン用のcgiかページを作れそうですが
ヘッダー出力で認証を切ってしまう方法
http://shorindo.com/tech/tech0002.html
ただできなかったという書き込みも見ましたので、プランBとして
AuthNameで初期化する方法
http://blog.y-110.net/log/eid133.html

お礼

回答ありがとうございました。
ログインは専用ページを作ればいいとして、やはりログアウトが問題ですね。
ヘッダーで401を返す方法というのは私も試してみたのですが、最近のブラウザではやはりうまくいかないようです。
別のAuthNameで強引に再認証させて初期化するというのは知りませんでしたが、これはいいアイデアかもしれませんね。試してみます。

回答No.2

memphis

既にCMSを使っているならMysqlなどのDBは使っていますよね？
それならIDとパスワードをDBで管理し、CMSのヘッダテンプレートで
認証とセッション管理の処理を追加すれば手間が少なく済むと思います。

お礼

回答どうもありがとうございました。
MySQLは使っていますが、DB認証をするには専用のApacheモジュールが必要になるのではないかと思いました。
さくらサーバの場合、そのモジュールが入っているかどうかが不明ですし、ユーザー側でモジュールのインストールはできないはずので、DB認証は難しいのではないかと思っていましたが…

また、パスワード発行や管理に関しては、現状でもCGIを使用しており、それほど問題とはなっておりません。今回の質問は、今までのパスワードファイルを流用して、セキュリティレベルの向上（認証時の暗号化）と、明示的な「ログイン／ログアウト」システムを構築できないだろうか、という趣旨です。

それから、会員サイト内で使用しているCMS（MTです）は、あくまでもサイト内の一部であり、大半は古いHTMLページ（数千ページ以上）や2ちゃんねる式の掲示板および過去ログなどで構成されています。そのため、すべてのページヘッダにソースを記述するのは難しいと思っています…。

回答No.1

memphis

会員サイトを運営するなら、CMSとかSNSとかのサイトにしたほうが手間も少ないから、考えてみては？

私の場合、メンバー数は少ないですが
最初からトラブル発生、多くなる事を見越して
掲示板ベースのポータルサイトと、SNSベースのサイトの２つを運営しています。

お礼

どうもありがとうございます。
サイト内の一部はすでにCMSで運営していますが、10年近くの間に溜まった大量のコンテンツを移したり作りかえるようなことは考えておりません。
運営の方法ではなく、ログイン認証を問題としていますので、今回の質問に対する範囲での回答を期待しています。どうぞよろしくお願いいたします。