株式会社イーシーキューブ、EC-CUBEのカスタマイズやプラグイン開発におけるセキュアなコーディング基準を定めた「EC-CUBEセキュアコーディングガイド」を公開
- 2022年12月16日 12:00:00
- マネー
- Dream News
オープンソースソフトウェア(以下、OSS)のEC-CUBEはどこまでも自由にカスタマイズできることが魅力である一方、カスタマイズにおけるセキュアなコーディング基準が開発者によって異なるため、EC-CUBE全体での更なるセキュリティ向上への課題となっていました。この度公開したEC-CUBEセキュアコーディングガイドはIPA(情報処理推進機構)が公開している「安全なウェブサイトの作り方(https://www.ipa.go.jp/security/vuln/websecurity.html)」の実装対策を元に、EC-CUBEで過去発生した脆弱性も踏まえ、EC-CUBEとしてのセキュアなコーディング基準を定めた文書です。これにより、EC-CUBEのカスタマイズやプラグイン開発者のセキュアなコーディングの参考となり、EC-CUBEで構築される全てのECサイトのセキュリティ向上につながることが期待できます。全EC-CUBE開発者必読の文書です。
今後も、EC-CUBEの本体開発で培ったセキュリティの知見を活かし、カスタマイズしても高いレベルのセキュリティが実現できるよう、引き続き取り組みを行ってまいります。
【画像 https://www.dreamnews.jp/?action_Image=1&p=0000272437&id=bodyimage1】
EC-CUBEセキュアコーディングガイドの詳細はこちら:https://doc4.ec-cube.net/security-guideline/coding
■EC-CUBEセキュアコーディングガイドの掲載項目について
本セキュアコーディングガイドはEC-CUBE本体開発を行うエンジニアが作成し、EC-CUBEセキュリティアドバイザリーを務めるEGセキュアソリューションズ株式会社の確認を経て公開に至りました。今回公開したセキュアコーディングガイドの対策項目は以下の通りです。
・SQLインジェクション
・ディレクトリ・トラバーサル
・クロスサイト・スクリプティング
・CSRF(クロスサイト・リクエスト・フォージェリ)
・アクセス制御や認可制御の欠落
今後、本セキュアコーディングガイドへは対策項目の追加、修正等を行い、内容の充実をはかってまいります。
■EC-CUBEのセキュリティへの取り組みについて
2019年12月、経済産業省よりEC-CUBEの脆弱性に関する注意喚起 が発表されましたが、EC-CUBEではそれ以前よりセキュリティ向上を最重要課題として取り組んでまいりました。その結果、現在はOSSのEC-CUBEの良さでもあるどこまでも自由にカスタマイズできることだけではなく、カスタマイズしてもセキュアであり続けられる環境整備をイーシーキューブでは行っています。
【1.セキュアなアプリケーション開発】
■定期的な脆弱性診断を開発に組み込んだDevSecOps(セキュリティを確保しつつ、開発スピードを損なわない開発スタイル)なEC-CUBE本体開発の実現
・週1回:脆弱性診断ツール「VAddy」による修正コード診断
・本体リリース前:OSSの脆弱性診断ツール「OWASP ZAP」でのリリース前診断
・年2回:セキュリティ専門企業による脆弱性診断
■EC-CUBE本体へのセキュリティ強化機能追加
管理画面ログイン2段階認証機能、拒否リスト形式IP制限機能、ログインの試行回数制限機能、パスワードの要件を PCI DSS ver4.0 に準拠等、12個のセキュリティ強化機能をEC-CUBE4.1~4.2で追加しています。
■コミュニティ全体でクオリティ・セキュリティの向上を目指したバグバウンティの実施
EC-CUBE4.2バグバウンティについて:https://www.ec-cube.net/events/release4.2/
【2.利用環境をセキュアに保てる】
■OWASP ZAPの設定情報を全て公開。DevSecOpsな開発を制作会社でも実現可能。
■自社のセキュリティ要件にあわせることが可能。
データの置き場所、セキュリティ要件にあった外部サービスと連携、ログ管理、データ削除要件 等
■EC-CUBEで発生した脆弱性情報の全公開と公開時の情報提供
■リリース前や運用時のチェックができるセキュリティチェックリスト提供
■公式のセキュリティサービス提供や、セキュリティサービス企業との業務提携
セキュリティチェックプラグイン、EC-CUBE脆弱性診断、無償脆弱性診断を2社より提供、EC-CUBE Keeper(EC-CUBE専用WAF)、不正検知サービス2社との業務提携 等
■EC-CUBEを安全に利用できるクラウド環境「ec-cube.co(https://www.ec-cube.net/product/co/)」の提供
全サイトWAF提供、不正リクエストや障害監視、セキュリティパッチ適用 等
■セキュアコーディングガイドの提供(2022年12月16日提供開始)
【3.関係者のセキュリティリテラシー向上】
■セキュリティ向上セミナー、パートナー向け勉強会の開催
■セキュリティ対策ページの公開
■EC-CUBE運営元、(株)イーシーキューブにてISMS取得、セキュリティ人材の登用
■セキュアコーディングガイドの提供(2022年12月16日提供開始)
EC-CUBEのセキュリティへの取り組み詳細はこちら:https://www.ec-cube.net/info/security/efforts.php
■「EC-CUBE」について
ECオープンプラットフォーム(※1)「EC-CUBE」は2006年9月の公開以降多くの方にご利用いただいた結果、日本No.1 EC構築オープンソースとして認定、2020年11月には月商1000万円以上のネットショップ利用店舗数でNo.1に認定(※2)されています。
「EC-CUBE」はオープンソースのどこまでも自由なカスタマイズ性と、カスタマイズしてもセキュリティ面で安心して利用できるプロダクトや環境の提供を行っています。2019年2月にはダウンロードせずに安心安全な環境でお使いいただけるクラウド版「ec-cube.co」をリリース。更に、2022年9月には開発コミュニティ協力のもと、6つのセキュリティ強化機能の追加と、バグバウンティの実施によりクオリティとセキュリティを高めた最新版「EC-CUBE4.2」をリリースしています。「EC-CUBE」はオープンソースを基盤として、カスタマイズ可能なクラウドサービスの提供、簡単に機能追加できるプラグイン、外部サービスや企業の基幹システムとの連携を可能にする「Web API」等、単なるECサイト構築にとどまらない、企業のECを中心としたDX推進を強力にサポートするプラットフォームへと進化を続けています。
【画像 https://www.dreamnews.jp/?action_Image=1&p=0000272437&id=bodyimage2】
(※1)独立行政法人情報処理推進機構「第3回オープンソースソフトウェア活用ビジネス実態調査」による
(※2)ECマーケティング株式会社「ネットショップ動向調査 ~ 小規模/大規模ネットショップ~月商1000万円未満/1000万円以上のそれぞれのWeb担当者に聞いた!現在使っているカートシステムの満足度は?」による
■株式会社イーシーキューブ概要
会社名:株式会社イーシーキューブ
本社:〒530-0001 大阪市北区梅田2-2-22
代表取締役社長:金 陽信(きむやんしん)
設立:2018年10月1日
URL:https://www.ec-cube.co.jp/
主要株主:株式会社イルグルム
事業内容:ECオープンプラットフォームの開発・提供等
【プレスリリースに関するお問い合わせ先(報道機関窓口)】
株式会社イーシーキューブ
担当:梶原 直樹
お問い合わせフォーム:https://www.ec-cube.net/contact/
電話番号:06-4795-7506
お電話での一般のお問合せは承っておりません。ご了承くださいませ。
配信元企業:株式会社イーシーキューブ
プレスリリース詳細へ
ドリームニューストップへ
フィフィ、知事選“ほぼ全裸”ポスターに「表現の自由を履き違えて…どうにかならんのかな」
小林製薬、万博協賛取りやめ 5億円規模か 紅こうじ健康被害で
都知事選のほぼ全裸ポスター、イメージガールが謝罪 自身が携わる商品PR活動を辞退を発表
後藤祐樹氏、ほぼ全裸ポスターに苦言「売名に他ならない」 都知事選
35歳東京五輪金メダリストは投資下手!? 2億円運用明かすも「今日も300万ぐらいマイナス」
ゆきぽよ「シンプルに下剤だった」失敗談語る
「イカ天」人気ミュージシャン、絶頂期に飲食店経営に手出し2000万円失う
25年春「キンキーブーツ」日本再上陸「ネクスト山崎育三郎」東啓介、清水くるみ、田村芽実ら集結
水谷隼氏、自宅「買うなら一括購入」の仰天額にスタジオ騒然「そのためだけに頑張ってきた」
「ひまそらあかね」が突如トレンド入り!都知事選に出馬した暇空茜って一体どんな人?本物なの?
都知事選掲示板にヌードポスター ひろゆき氏「世も末」 SNSで批判噴出
何があった!?「エアコン」が想定外の壊れ具合!投稿者に話を聞いた
都知事選のほぼ全裸ポスター、イメージガールが謝罪 自身が携わる商品PR活動を辞退を発表
ダルビッシュ妻・山本聖子さん、車運転中に“まさか”の出来事「ミラー越しに後ろを覗くと…」
「ひまそらあかね」が突如トレンド入り!都知事選に出馬した暇空茜って一体どんな人?本物なの?
女性の裸に近い姿のポスター掲示 警視庁が都知事選候補者に警告
バキ童こと春とヒコーキのぐんぴぃが有吉の壁に登場!「笑いが止まらん」「地上波ゴールデンは草」
イケメンだから許される!堀北真希と山本耕史の「馴れ初め」が映画化希望するレベル
車椅子アイドル、ほぼ全裸の都知事選ポスター騒動に私見 インプ稼ぎで「余裕で元が取れます」
大谷翔平の21号に続き、スミス、フリマーマンの上位3人が「そろい踏み」アーチで快勝
何があった!?「エアコン」が想定外の壊れ具合!投稿者に話を聞いた
都知事選掲示板にヌードポスター ひろゆき氏「世も末」 SNSで批判噴出
松本人志飲み会参加セクシー女優「警察に相談しに行きました」報告「さすがにこれは酷すぎる」
現役女子大生グラドル、セクシー女優転身「私の全てを見ていただけると思います」
玉置浩二の妻、青田典子(53)の現在がとんでもない事になっていると話題に
ガーシーが綾野剛のLINE公開でネット騒然「ショック」「すごいエンタメ」
柏原崇(45)現在を調べてみた結果、相変わらずかっこよすぎた!
『こんなに可愛かった赤ちゃん犬が…』完全に想定外な『まさかの成長』が面白過ぎると82万再生「爆笑したw」「柴らしさ全開で好き」と絶賛
「愛が生まれた日」藤谷美和子(56)の現在がヤバい!?徘徊生活を送っていた過去も明らかに。
都知事選のほぼ全裸ポスター、イメージガールが謝罪 自身が携わる商品PR活動を辞退を発表
フィフィ、知事選“ほぼ全裸”ポスターに「表現の自由を履き違えて…どうにかならんのかな」
小林製薬、万博協賛取りやめ 5億円規模か 紅こうじ健康被害で
都知事選のほぼ全裸ポスター、イメージガールが謝罪 自身が携わる商品PR活動を辞退を発表
後藤祐樹氏、ほぼ全裸ポスターに苦言「売名に他ならない」 都知事選
35歳東京五輪金メダリストは投資下手!? 2億円運用明かすも「今日も300万ぐらいマイナス」
ゆきぽよ「シンプルに下剤だった」失敗談語る
「イカ天」人気ミュージシャン、絶頂期に飲食店経営に手出し2000万円失う
水谷隼氏、自宅「買うなら一括購入」の仰天額にスタジオ騒然「そのためだけに頑張ってきた」
25年春「キンキーブーツ」日本再上陸「ネクスト山崎育三郎」東啓介、清水くるみ、田村芽実ら集結
「ひまそらあかね」が突如トレンド入り!都知事選に出馬した暇空茜って一体どんな人?本物なの?