ウェブマイスターブログ

2007年08月07日

サーバーのセキュリティー

先日、とうとう私のサーバーがクラッキング被害を受けた。
当ウェブマイスターは大丈夫だったが、他３サイトに侵入を許してしまった。
その３サイト、同じパスワードをつかっていたため、３サイトにも及ぶ被害となった。

被害内容は、前年末に流行したMicrosoft XML コアサービスの脆弱性をついたもので、ページを表示させるだけで強制的にダウンロードが開始され、実行されるというもの。
去年１１月に修正パッチがリリース済みなので、被害は無しか軽微であった。

あらゆるサーバーログを調べ、犯人の大まかな行動や時間や環境を抜き出す事に成功。
サーバーのログを見ると、sshへの侵入が記録されている。suコマンドで他２ユーザーへ侵入したのも記録されていた。
他ユーザーへは侵入していなくて一安心。adminやrootはもちろん無事。
侵入したユーザーのsshコマンドログだけは、しっかり削除されていたが。

ここで教訓。
パスワードは全て違うものにし、被害を最小限に抑える事。mySQLのユーザーも同様。
sshにはアクセス制限を必ず行うこと。この場合、adminとroot以外を禁止することが最低限必要であった。
また、フォルダのアクセス制限もしっかり行い、、ユーザーのルートより上の階層へはアクセスできないように設定。
adminとrootだけは、もちろん除外。

破壊行為が目的でなくて助かった。

次にやっかいなのが、googleの危険サイトリスト入りになったことだった。
検索結果順序には影響ない（一位表示のまま）が、危険を知らせる警告文が表示され、リンクもされない常態となった。
これを正常にしてもらうには、googleのhelpによると、審査の申し込みをする必要があるとなっていた。
リンク先は、英語のサイト。申し込むフォームを見つけるだけでも大変だった。
英語が苦手な日本人なら、無理だと思う・・・・。
そのサイトに、審査をフォームで申し込むよう書いてあっても、そこにはリンクは無いという不親切さ。
やっとのことで、審査申し込みフォームを見つけ、いざ申し込み。というのが昨日。
申し込みは英文で状況を記入するのだが、いくつか例文が掲載されており、そのままコピペして送った。

手順が分からない人のために、手順を書いておきます。
１．最下行にあるボックスに、自分のサイトのアドレスを記入して送信。（http://を覗くドメインのみ）
２．ブラックリスト入りしていれば、そのボックスの下に情報が表示される。
自分のサイトアドレスをクリック。
３．これで表示されているのが、審査申し込みフォーム。
名前、メアド、サイトオーナーチェック、理由記述、補足事項記述、チェック、送信となる。
理由記述は、例文を翻訳機にかけて、該当する内容をコピペでよい。
今現在は、一行目の「サイトを正常化した」という内容のやつをコピペで良いだろう。
ちなみに他は、「おかしなところは無い。無害だ。」といった内容だ。
補足事項は何も書かなくて良い。
送信すると、申し込みを受理したという英文メールが送られてくる。
あとは、審査をまつだけだ。順番待ちとなり、自分の審査の番がくるのはいつになることやら。
審査結果は、メールで送られてくる。もちろん英語。

本日、何故かgoogleの検索結果から警告が削除されていた。
まだ審査が終っていないのに、何故なのだろう。
おそらく、googlebotが自動で認識したのだろう。
それじゃ、審査の意味は・・・・・。
どうせなら、StopBadware.orgからも削除してほしい。なんとも中途半端なシステムにも見える。

全ての作業を終えるのに丸一日以上かかった。ほとんどがサーバーのログ内容をあらゆる角度で検索だったが。
何はともあれ、もう二度とごめんである。

ちなみに犯人はおそらく日本に住む中国人か、日本に居る仲介人を介した中国人。様々なデータからそう判断できた。
ウイルスをばらまいているサーバーは国内ＩＰだが、ＯＳが中国語Windows。
アタッカーのＩＰは国内（ODN）だが、ＰＣのＯＳは英語（アメリカ）。

自サーバーの人は、必ず通る道（クラックされる運命）とも言われている。
そして私も例外ではなかった。

2007年08月04日

相対ＵＲＬと絶対ＵＲＬ

相対リンクは、ドメインを含めないアドレスで、絶対ＵＲＬとはhttpから始まるフルＵＲＬ。

遥か昔から議論されていた相対ＵＲＬと絶対ＵＲＬとＳＥＯの関係。
最近もまだよく言われている。
理由はなんであれ、絶対ＵＲＬが良いと言われていた。噂はいくつかある。
・外部リンクとして認識されるため、ページの評価があがるなど。
・インデックスされやすいなど。

そして、googleが正式にこれについて書いているのはご存知だろうか。
http://www.google.co.jp/support/webmasters/bin/answer.py?answer=35156&query=%E3%83%95%E3%83%AC%E3%83%BC%E3%83%A0&topic=0&type=f

『可能な場合は、相対リンクではなく、絶対リンクを使用します』

インデックスされやすいという噂はこれによりgoogleが認めた真実である。
正確には、相対リンクだとクローラーがたどれなくてインデックスされないことがあるということになる。

クローラーが相対リンクを発見したとき、これを絶対リンクへ変換してからアクセスする。
この変換に失敗すると、存在しないＵＲＬができ、リンクをたどれなくてインデックスされない。
ということなのだろう。（ここまで詳細に書かれていないので憶測ではある）

2007年08月01日

ユーザビリティ

ユーザビリティとは使いやすさのこと。使いやすいサイトとはどんなのだろう。
フレーム要素とターゲット属性について今更ながら見てみる。

■フレーム要素
タグで構成する要素で、主にメニューとコンテンツを独立させるために使用する。
だがもはや過去の技術となり、今はもうあまり見かけない。
しかし、常にメニューが表示されてて使いやすいという声も少ないが存在する。
個人的には、フレームでメニュー独立は非常に使いにくい。マウスの移動量が劇的に増えるからだ。
また、メニューのスクロールバーを非表示にする最悪のパターンも多く、やはり無い方が個人的には嬉しい。
他にも、ブックマーク問題等複数ページを一度に扱う事から利用者側に問題がいろいろ発生する。
ただ、初心者にはフレームサイトのほうがやさしいのかもしれない。つねにメニューが見れる安心感。
サイト作成も、初心者にはフレームのほうが簡単に作れるのも事実。だが便利性とは無関係でもある。

■リンクのtarget属性
他サイトは別窓で開くのが一般的である。そのためにtarget属性を使う事が一般的に好まれていた。
だが、これを嫌う人ももちろん存在する。
私はよくサボってtarget属性を付け忘れる。するとつけて欲しいという要望がくる。
他のサイトオーナーも同じ状態という話だ。
しかし、targetはブラウザの動作を操作するものであり、同じ窓で開きたくても開けないことから、反発する人も存在する。
その結果、非推奨となり、現時点のXHTML 1.1では抹消されている。
個人的には、なんでもいいレベル。targetある無しにかかわらず、他サイトはミドルクリックで別窓（タブ）表示の癖がついている。クリックする前にリンク先のＵＲＬを確認して判断している。
しかしこれは長年の知識と経験によるもので、初心者は左クリックしか知らないはずだ。
Shift+クリックなんて知らない。知ってるけど面倒だ。右クリックメニューは面倒だ。という声が多いのだろう。
また、targetが嫌いならば、これを無効にする手段は無いわけでは無い。
しかし、ＩＥでは中途半端にこれの無効化を導入してしまった。なんと、ポップアップブロックを高に設定すると、ブロックしてしまう。デフォルトは中なので気にする必要はあまり無いのだが。
そして嫌われたtarget属性にかわり、Javascriptで代用の人もでてきている。
もっとダメじゃん。

ということで、XHTML 1.1の改正版ではtarget属性が復活する予定になっている。
あくまで予定であり、復活する保障は無い。
無いと無いで、「いちいち別窓を開く作業がうざったい」という声がでたのだろう。
「いちいち別窓が開いてうざったい」という声と天秤にかけた結果、あったほうが有益というのが現時点の判断なのだろう。

ちなみに次期ＣＳＳ３では、この機能をさらに拡張してサポートする予定になっている。
ＣＳＳならばクライアント側で簡単に変更できるので、この議論に終止符が打たれるだろう。

2007年07月10日

デザイナーとユーザーとのギャップ

デザイナー（サイト作成者）と、ユーザー（サイト利用者）とのギャップで最も大きいのがこれだ。

デザイナーは視覚的なデザインに懲りたい。
ユーザーは素早く情報が欲しい。

昔からよく言われていることだが、未だに「デザインに凝らないと人がこない or デザインに凝れば人が来る」と間違った認識をしている人が後を立たない。
一般的には、デザインに凝るほど人が来ない。デザインに凝るほど使いにくく、分かりにくいサイトとなり、訪問者はすぐに去るというのが今や常識である。
（この場合のデザインは、視覚的かっこよさのデザインを指す）

サイトに必要なのは、かっこよさでは無い。情報への素早いアクセスだ。
かっこよく作れば、「かっこよいサイト」という内容でリンクされることもある。
すなわち訪問者は、サイトを見て「かっこいい～～」とデザインだけ見て去る。
それが目的のサイトなら良いのだが、情報や商売がメインなら意味がない。

ではどうデザインするのがベターか。
使いさすさを考えてデザインすれば良い。
１．訪問者は何を見たいのかを知り、それを目立つ場所に設置する。
目立たない所に置いては、たどり着く前に去ってしまう。
２．メニューを分かりやすくする。
日本語でわかりやすいメニューでなければ、意味がわからず去ってしまう。
３．ブックマークできるページにする。
たとえばフラッシュで作ったサイトは、ページをブックマークできない。
Yahoo!やGoogleから人が来ないし、ブックマークができないのは不便な場合もある。
４．表示に時間をかけない。
検索で情報を探している時、すぐにページが表示されなきゃ去って次のサイトへ行ってしまう。

これらを最低限守ってデザインするのが、良いサイトと言える。
商用サイトでは特に重要である。
最近の統計でもやはり、デザインに凝るほど客が少ないという結果がでている。
参考リンク

さらに言うと。基本が出来ている人なら、手抜きサイトほど良サイトになりやすい。視覚的デザインはめんどうだからね。重要な部分だけちゃんと作ってシンプルに終わり。これがよかったりする。
余計な知識が無い素人ほど良いサイトになりやすい。デザインに凝るだけの技術が無ければ、シンプルで良いサイトになりやすい。見た目がダサくてもね。

認識しなければいけないのは、一般訪問者はデザインを見に来たのではないこと。
ちなみに私が個人的に運営するサイトでもっとも人気があるサイトは、デザインを最も手抜きしたサイトだったりする。（結果的に、分かりやすくて使いやすさがダントツとなった）

ただ勘違いしてはならないのは、デザインに凝るのがダメということではない。
デザインの凝り方に問題があるという話である。
正しくデザインに凝れば、好感度アップなどで、さらなるアクセスアップに繋がるだろう。

最後に、究極のシンプルデザインはこのサイトかな？
Google

2007年07月02日

Gyaoリニューアル

[ インターネット ]

時々視聴している動画配信サイトGYAOが先日リニューアルした。
リニューアルするたびに、動画を見るまでのクリック数が１つづつ増えていき、とうとう収録話数が一覧に表示されなくなった。
何故どんどん使いにくくなっていくのか、謎が深まるばかりである。
また、特集という名のただのＣＭもどんどん増えてる。
やはり無料配信は無理があるのだろうか。

2007年07月01日

最先端の携帯電話iPhone

[ コンピュータ ]

数日前（6月29日）に発売されて話題を呼んだiPhone。（日本での販売は未定）
発売国ではお祭り騒ぎの人気ぶりとはすごいものだ。
iPhoneを知らない人に簡単に一言で説明すると、携帯電話機能のある携帯情報端末かな。
これだけだと、今までも色々出ている。今までと違うのは。

今までの情報端末機より小さい。普通の携帯より一回り大きい程度。
操作ボタンが無く、タッチスクリーンのみ。
タッチスクリーンだから操作が分かりやすい。
ソフトウェアキーボードで入力が簡単。
ＧｏｏｇｌｅＭａｐｓを装備。
ウェブブラウザSafari装備。
YahooMail装備。
無線Ｌａｎ装備。
iPotより高機能な音楽管理。
中身はMac。
他、今時の携帯電話にある機能は一通り装備。

といった感じだろうか。小型でありながら、結構パワフルである。
携帯電話もどんどん高機能化し、パソコンでしかできなかった事が携帯でできるようになってきている。
あとは、料金が安くなれば楽しくなりそうだ。いつかは携帯でもネットに常時接続な時代がくるのだろうか。

2007年06月20日

MySQL入門中の入門

今最もポピュラーなMySQLというデータベースシステムについて、基礎をまとめみてみる。

MySQLは、データベースを扱う言語の一つと思って良い。
すなわち、MySQLには、様々なデータベース形式(ストレージエンジン)が存在する。
中でも重要なのは、『MyISAM』と『InnoDB』の２種類だ。これ以外を使う事は無いに等しい。

■２種類を簡単に説明すると。
・『MyISAM』は、読み込みに特化した形式。大量の同時書き込みが苦手。
ある行を書き込み中は、他の行を書き込みできない。読み込み中も書き込みができない。
・『InnoDB』は、複数行の同時書き込みが可能。書き込みに特化した形式と思えば良い。
ただし、読み込みが遅く、メモリを大量に必要とする。

一般には、小さなサイトや、大量の同時書き込みが発生しないテーブルはMyISAMを使う。
個人サイトレベルはMyISAMと思っても良い。
逆に、大手サイトでは沢山のユーザーが同時に書き込みを行うから、同時書き込みができないMyISAMでは順番待ちでタイムアウトしてしまう。だからInnoDBを使うケースが多い。

■MyISAM
仕組みを分かりやすく説明すると
データベース　＝　ディレクトリ（フォルダ）
テーブル　＝　ファイル
となっている。
テーブル数の上限は、サーバーのシステムによって違う。
Windowsなどでファイルの多いフォルダを開く時、長く待たされることを経験した事は無いだろうか。
データベースでも同じである。テーブルが多ければ、接続時に時間がかかる。

■インデックス
インデックスとは、目次のこと。目的のデータに瞬時にアクセスするために必要なものだ。
ただし、初心者には少し難しいシステムでもある。

まず、インデックスが必要なのは、１万件以上に及ぶ大きなテーブルのみである。
千件程度の小さなテーブルでは、逆に遅くなる場合が多い。
また不必要にインデックスを増やせば、そのインデックスを作成するぶん遅くなる。

検索を行う時、最も適したインデックスが自動で選ばれて使用される。
ただし、使うインデックスはどれか一つのみである。
すなわち、複数のフィールドを検索（ソート）する場合、注意が必要である。
検索条件にあった複数対応のインデックスを用意しなければ意味が無い。
その他にも色々制約があるため、使いこなすにはマニュアルをよく読む必要がある。

■MySQL4.1以降
バージョン4.1から、文字コードの扱いが変更となった。
今までは、MySQLを呼び出すソフト側で文字コードを変換する必要があったが、4.1からはMySQL側が自動で行うようになった。
すなわち、自分で文字コードをいちいち変換させる命令を書く必要が無くなり、楽になったと言える。

これにより、実質、MySQL側の文字コードを気にする必要が無くなった。
MySQL上のデータがSJISだろうがEUCだろうが、関係なくなったわけだ。（ソース側の文字コードを気にする必要は今までどおりあるが）
ではデータベースの文字コードは何を意味するのだろうか。
それは、ソートである。どの文字コードでも意識しないで扱えるようになったが、ちゃんと指定しないとソートがうまくいかない。あたりまえである。
また、文字変換のタイムロスをなくすため、ウェブと同じ文字コードにすると良いだろう。
問題が無い限り、『ＵＴＦ８』をお薦めする。日本語特有の問題がなくなるからだ。

気をつけることは、ソース側の正しい文字コードをMySQLに知らせることだ。でなければ、コード変換が正しく行われない。あたりまえである。
iniファイルに記述する方法や、MySQL構文でそのつど指定する方法などがある。
正しく指定しなくても、読み書きは大抵正常に行われる。間違った変換で記録しても、読み込み時に元のコードに変換されるためだ。このため、ウェブ側では文字化けが起こりにくい。
ただし、ソートはめちゃくちゃとなる。
もちろん、他の違う文字コードで書いたソース（ページ）では、文字化けを起こす。
なので、きちんと文字コードを指定する必要がある。

一つのデータベースを使い、EUCで表示するページやUTF8で表示するページがある場合もあるだろう。
古いサイトはEUCで作られており、最近のサイトはUTF8で作っている人も多いはずだ。
この場合の文字コード指定方法の一つに
　mysql_query("SET NAMES UTF8"); （PHPでの書式）
がある。
データベースに接続後、一度だけこれをやれば、接続を閉じるまで有効となる。

■MySQL4.1未満から、4.1以上へ移転する場合
上記の文字コードの扱いのみに注意するだけである。
デフォルトの文字コードは、おそらく『latin1』となっているだろう。
エクスポート＆インポートで移転する場合は、注意が必要である。

まず、エクスポートしたファイルはEUCかSJISとなるはずだ。
この文字コードは、そのままにし、UTF8に変換してはならない。
そして、『CREATE TABLE』文の最後に、テーブルの文字コードを書き足そう。
『) ENGINE=MyISAM DEFAULT CHARSET=utf8;』
などとすれば良い。
そしてインポートすれば、正しく文字コード変換がされるはずだ。

以上が、まず知っておきたい基礎事項である。

2007年06月16日

ネタ記事

少し前に書いた、『ブログに人を集める方法』の続編。

ちょこっとためしに、ある記事を投下したりして様子をみてみたのだが、予想通りの展開を見せた。
コメントは静かだが、あるサイトで多少の話題を呼べたので成功としておこう。
その道の人から見れば、当然の反応だ。(他言語愛好家の反感)
しかし、そういった人（目的）を対象にした情報ではないため、問題は無い。適材適所というわけだ。

これは、マスコミなどでは手軽に人を呼べるとして、ごく当たり前に行われている古くからある手法である。
極端にすればするほど人があつまる。過激にすればするほど人があつまるというわけだ。
しかし、あまりやりすぎると『祭り（収拾不能）』状態となるので注意が必要である。
ＴＶや雑誌では、収拾不能となり謝罪している場面もよく見る。

私がよく読む情報系ブログにも、この手法がメインのところがある。
内容は適度に攻撃的で、知らない人が見れば鵜呑みしてしまうというものだ。
やはり、こういった攻撃的内容を読むと、再認識や考えさせられる場としての面白みがある。
ただ残念なのは、そのブログのコメントは同意意見のみということだ。

以上のことから、軽度のものでは、反対意見のコメントがつきにくく、他サイトで話題になるのみに留まる傾向にある。
これは理に適っており、他のもっと大勢がいるサイトで反論した方が、仲間が多いためだ。
また、同じような事をする仲間が多いため、行いやすい。結果、反論が目立つ事になる。
その場が、『2ch』や『はてな』といった巨大コミュニティーサイトであり、こういった行為を『晒し』と言う。
そして、読者が多ければ、コメントで討論or祭りとなる。

しかし、毎日のように記事を書いている人はすばらしい。
ネタが続かないよ・・・・。