id	summary	reporter	owner	description	type	status	priority	milestone	component	version	resolution	keywords	cc	modified_flg
1003	セキュリティ面のさらなる強化	AMUAMU	somebody	"直接的な脆弱性ではないがセキュリティ面で強化・改善すべきと考えられる点が散見されるため、実装を検討する[[BR]]

1. インストール時に固定されているシステムパラメーターのうちサイト毎に異なる方が好ましいと思われる下記の値をインストール時生成[[BR]]
・CERT_STRING[[BR]]
・TRANSACTION_ID_NAME  (部分生成？ transidxxxx のような）

2. ブルートフォースアタック対策 [[BR]]
・管理画面[[BR]]
・フロント[[BR]]
・リマインダー[[BR]]
(以前、フォーラムでも示唆する話題有り http://xoops.ec-cube.net/modules/newbb/viewtopic.php?topic_id=7209&forum=4&post_id=34698 )

3. 公開すべきではないファイル／ディレクトリが公開側に残っていないかの確認[[BR]]
html側にsqlファイルとかあるのは意図的なのか？など

4. 最終ログイン日時の画面への表示[[BR]]
管理者側は内部的には既に保持しているのにログ出力にしか利用されていない。[[BR]]
フロント側は将来検討事項か

5. 管理画面のトークン利用（transactionid）の徹底[[BR]]

※実装時は個別のチケットを発行するのが望ましいと思います。2.11.0でやるべきではないものも総覧的、備忘録として入れています。

関連するセキュリティ強化関連のチケット[[BR]]
#552 (/data以下が公開されている場合に管理画面にて注意を促す)[[BR]]
#812 (管理画面でトランザクションIDを使用する)[[BR]]
#818 (パスワードリマインダの答えのハッシュ暗号化)[[BR]]
#819 (パスワードのハッシュ暗号化の強化) [[BR]]
#830 (WEB で公開すべきでないファイルが公開領域に配置されている)[[BR]]
#841 (管理画面のIP制限)[[BR]]
#874 (テンプレートは /data/ 配下のみ保存する)[[BR]]"	改善提案	new	高	EC-CUBE2.11.0	その他	2.11.0 β