PaperCut のセキュリティについて

PaperCut は最初からセキュリティを考慮して開発してきました。弊社は教育関連にルーツを持ち完全に理解しています。
PaperCutの開発プロセスは継続的にセキュリティに焦点を当てています。

この中核となるのがオープン・ソース・コードです。
PaperCut のソース･コードの大部分は顧客が利用できるようにしています。

コードは主要な教育機関によってレビューされています。
例えば、大学で働いていたセキュリティの専門家が2008年のレビュー中にXSRF(クロスサイトリクエストフォージェリ) を発見しました。
この問題は完全に開示され、PaperCut の開発チームはすぐに対処しました。

PaperCut はソフトウェア・レベルでアクセス制御のためにActive Directory のセキュリティ・グループを利用しています。
管理者は異なったレベルのアクセス権限を設定することができます。
例えば、システム管理者にはすべての機能にアクセスできる権限を付与し、

事務スタッフにはレポートやアカウント管理のような限定した機能のみアクセスできるように設定できます。
PaperCut は、パスワードやアカウント情報などの機密データをネットワークからセキュアに取り扱うために、

通信とリモートWebベースの管理にSSL/HTTPSを使用しています。
内部ユーザを使用する場合、内部のパスワードはランダムなSALTとSALT化されたユーザ名によりシードされるMD5ハッシュ形式で保存されます。
開発に関連したすべてのセキュリティは内部的に評価され、R&Dはベストプラクティスを満たしていることを確認しています。

PaperCut は「Jetty HTTP Server」「Apache Tapestry」「Ghost Trap」「Apache Derby データベース」など

多くのサード･パーティのコンポーネントを利用しています。
PaperCut は積極的にオープン･ソース・コミュニティと連携しこれらのプロジェクトをバックアップしています。
サードパーティ製コンポーネントのセキュリティを積極的に監視し、セキュリティの影響がPaperCut に関連する場合、積極的に対処しています。
PaperCutの開発チームがコピー機やMFPのファームウェアでセキュリティの問題を発見した場合、これらの問題にベンダーと協力して対処しています。

PaperCut は「CERT セキュアコーディングスタンダード」「OWASP Top 10」「Oracle Java セキュリティ・ガイドライン」のような
セキュリティのベストプラクティスに沿って開発されています。
弊社の多くの大規模な大学では、オンライン決済を処理するために、PaperCut を導入する前に完全なPCI セキュリティ監査を受ける場合もあります。

開発チームは定期的にセキュリティをレビューし、ベストプラクティスに沿って積極的に機能を追加しています。

(例: Version 11.2 でHTTPOnly cookie ヘッダを追加)
他の例として、Ghost Trap プロジェクトがあります。これはPaperCut により推進されたベストプラクティスのセキュリティ関連のプロジェクトです。
目的はGoogle Chrome ブラウザで使用されているのと同じ技術を使用して、

Ghostscript インタプリタをサンドボックス化するこのより最高のセキュリティをもたらしました。

http://www.papercut.com/kb/Main/Security