.\" Copyright (C) 1998 Matthew Dillon. All rights reserved. .\" .\" Redistribution and use in source and binary forms, with or without .\" modification, are permitted provided that the following conditions .\" are met: .\" 1. Redistributions of source code must retain the above copyright .\" notice, this list of conditions and the following disclaimer. .\" 2. Redistributions in binary form must reproduce the above copyright .\" notice, this list of conditions and the following disclaimer in the .\" documentation and/or other materials provided with the distribution. .\" .\" THIS SOFTWARE IS PROVIDED BY AUTHOR AND CONTRIBUTORS ``AS IS'' AND .\" ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE .\" IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE .\" ARE DISCLAIMED. IN NO EVENT SHALL AUTHOR OR CONTRIBUTORS BE LIABLE .\" FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL .\" DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS .\" OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) .\" HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT .\" LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY .\" OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF .\" SUCH DAMAGE. .\" .\" %FreeBSD: src/share/man/man7/security.7,v 1.39 2004/08/07 04:40:20 imp Exp % .\" .\" $FreeBSD$ .Dd September 18, 1999 .Dt SECURITY 7 .Os .Sh ̾�� .Nm security .Nd .Fx �ˤ����륻�����ƥ����� .Sh ���� �������ƥ��ϡ������ƥ�����ԤȤȤ�˻Ϥޤꡢ�����ƥ�����Ԥ� �Ȥ�˽��뵡ǽ�Ǥ��� .Bx �ޥ���桼�������ƥ�ϡ��Τʤ���Υ������ƥ����餫�������� ���ޤ���������ʤ륻�����ƥ��������Ȥ߹���ǰݻ����Ƥ������Ȥǡ��桼���� .Dq ��ľ�� ��³����Ż��ϡ������ƥ�����ԤκǤ��礭����̳�ΰ�ĤǤ��礦���ޥ���ϡ� �����Ԥ����ꤷ�������Υ������ƥ����������ޤ��������ƥ��˴ؤ��� ����ϡ��ष���������������ʹ֤Ȥζ�������Ǥ������̤ˡ� .Ux �����ƥ������ʿ��Υץ�������Ʊ���˼¹Ԥ����뤳�Ȥ��Ǥ��� ����⡢�����ФȤ���ư����Τ�¿���ΤǤ����Ĥޤꡢ�����β��Ԥ��� ��³���Ƥ��ơ������Хץ������Ȳ��ä��뤳�Ȥ��Ǥ���Ȥ������ȤʤΤǤ��� �����ޤǻȤ��Ƥ����ߥ˥���ԥ塼����ᥤ��ե졼��ϡ������Ǥ� �ǥ����ȥåץ���ԥ塼������ä����ꡢ�����⡢�����ϥͥåȥ���Ƿ�Ф�� �����ͥåȤ���³�����褦�ˤʤ�ޤ���������ˤ�ꡢ�������ƥ��� �Τ���٤ƤϤ뤫���礭������ȤʤäƤ��ޤ��� .Pp �������ƥ��ϡ����ޥͥ��γ��ؤΤ褦�ʥ��ץ��������̤��ȺǤ�褯�����Ǥ��ޤ��� ��û�˸��äơ���ꤿ�����Ȥϡ���������»�ͤʤ����٤ˤǤ������¿���� ���ؤ��ꡢ�����ƥ�˿�������Ƥ��ʤ��������տ����ƻ뤹�뤳�ȤǤ��� �������ƥ��γ��ؤ��ꤹ�������Ϥ���ޤ���ꤹ����ȡ������� ���Ф�˸�����뤳�Ȥˤʤ�Ǥ��礦���ɤ�ʥ������ƥ������Ǥ⡢ �����θ��Ф뤳�Ȥ�ͣ��ȤƤ���פʤ��ȤʤΤǤ����顣 �㤨�С������ƥ�γƥХ��ʥ�� .Cm schg �ե饰 ( .Xr chflags 1 ����) �����ꤹ��Τ��礷�ư�̣������ޤ��� ���Υե饰�����ꤹ��ȡ����Ū�ˤϥХ��ʥ���ݸ�뤳�Ȥ��Ǥ��ޤ����� �������Ƥ�������Ԥ��ưפ˸��β�ǽ���ѹ��뤳�Ȥ�˸���Ƥ��ޤ��� ��̤Ȥ��ơ��ޥ���Υ������ƥ�����������Ԥ� �ޤä������ΤǤ��ʤ��ʤäƤ��ޤ�����Ǥ��� .Pp �����ƥॻ�����ƥ��ˤϡ����ޤ��ޤʷ��Ǥι�����н褹�뤳�Ȥ� �Ĥ��Ʋ��ޤ�������ˤϡ�root ���ˤ����ȤϤ��ʤ����������ƥ�� ����å��夵�����ꡢ����ʤ���С������ƥ�������ǽ�ˤ����� ���褦�Ȥ����Τ�ޤޤ�Ƥ��ޤ��� �������ƥ��˴ؤ�������ϡ������Ĥ��Υ��ƥ����ʬ�ह�뤳�Ȥ��Ǥ��ޤ��� .Bl -enum -offset indent .It �����ӥ���ǽ���� (DoS) .It �桼����������Ȥˤ�������� .It ����������ǽ�ʥ����Ф��ͳ���� root ���¤ˤ�������� .It �桼����������Ȥ��̤��� root ���¤ˤ�������� .It ���κ��� .El .Pp �����ӥ���ǽ����Ȥϡ��ޥ���ɬ�פʻ�å���٤Ǥ��� �����ӥ���ǽ����ϡ����̤ϡ����Υޥ���Ǽ¹Ԥ���륵���Ф� �ͥåȥ�������å����ݤ��ơ��ޥ����å��夵�����ꡢ ����ʤ���Хޥ����Ȥ��ʤ������ꤹ��褦����Ǥ������ˡ�Ǥ��� �����ӥ���ǽ����Τ����Ĥ��ϡ� �ͥåȥ�������å��ΥХ������Ѥ��ơ��ѥ��åȰ�Ĥǥޥ���� ����å��夵���褦�Ȥ��ޤ�����Ԥϡ� �����ͥ�˥Х�������ܤ����Ȥˤ�äƤΤ߽������뤳�Ȥ��Ǥ��ޤ��� �����Хץ��������Ф��빶��ϡ����ץ�����Ŭ�ڤ˻��ꤷ�ơ� �����ʾ����ˤ��륷���ƥ�ˤ����ơ������Хץ�������������������٤˸³����ߤ��뤳�Ȥ� �������뤳�Ȥ��Ǥ��ޤ�����������٤�ȡ��ͥåȥ���ؤ���Ǥ���ι���ؤ� �б��Ϥ��ä����ʤ�ޤ������Ȥ��С���¤�ѥ��åȤˤ�빶�� .Pq spoof-packet attack �ϡ������ͥåȤ��饷���ƥ���ڤ�Υ���ʳ�����ˡ���ɤ����Ȥ� �ۤȤ���Բ�ǽ�Ǥ��� ����ˤ�äơ��ޥ������Ȥ��Ƥ��ޤ����ȤϤǤ��ʤ����⤷��ޤ��� �����ͥåȲ����äѤ��ˤ��Ƥ��ޤ����ȤϤǤ��ޤ��� .Pp �桼����������Ȥ�����˻����Ƥ��ޤ�����ϡ������ӥ���ǽ������⤺�äȤ褯���� ����Ǥ������Τ������Ǥ⡢��ʬ�����Υޥ����ɸ��� .Xr telnetd 8 , .Xr rlogind 8 , .Xr rshd 8 , .Xr ftpd 8 �����Ф�¹Ԥ����Ƥ��륷���ƥ�����Ԥ�¿���ΤǤ��������� �����Фϡ��ǥե���ȤǤϡ��Ź沽���줿���ͥ��������ư��Ƥ��ޤ��� ���η�̡������Ƥ���桼������ɸ�य�餤�Ǥ���С���⡼�ȥ������� (���Υ����ƥ�˥�������ˤϺǤ����̤���������ˡ�Ǥ�) ���Ƥ���桼���Τ�����Ͱʾ�ϡ��ѥ���ɤ����������� ���ޤ��Ǥ��礦�� �����ƥ�����Ԥ����տ����ͤʤ�С����Ȥ����������������Ƥ����Ȥ��Ƥ⡢ ��⡼�ȥ���������������Ϥ��ơ����路�����������ɥ쥹��õ����ΤǤ��� .Pp �ҤȤ��ӹ���Ԥ��桼����������ȤؤΥ��������������ꤹ��ȡ�����Ԥ� root �θ��¤��ˤ��ǽ�������뤳�Ȥ��ꤹ��٤��Ǥ����������� �������ƥ���ʬ�ݻ�����������ιԤ��Ϥ��������ƥ�ˤ����Ƥϡ� ����桼����������ȤؤΥ�����������ǽ�ȤʤäƤ⡢����Ԥ�ɬ������ root �ؤΥ�����������Ϳ����Ȥϸ¤�ʤ��Τ����¤Ǥ������ΰ㤤�Ͻ��פǤ��� �Ȥ����Τϡ�root �ؤΥ������������ʤ���С�����Ū�ˡ�����Ԥϼ�ʬ�� �����κ��פ��ä��뤳�Ȥ��Ǥ��ޤ������Υ桼���Υե��������ä������ꡢ �ޥ����å��夵������Ǥ���Τ����������Ǥ��� �桼����������Ȥ������˻������Ȥ������Ȥϡ������ؤ�褯�����뤳�ȤǤ��� �ʤ��ʤ顢�桼���ϡ������ƥ�����Ԥۤɤˤ�����ä����դ�ʧ��ʤ� ���������뤫��Ǥ��� .Pp �����ƥ�����Ԥϡ�����ޥ����� root �θ��¤��ˤ���ˡ�ϡ�����Ū�� ���̤�⤢��Τ��Ȥ������Ȥ� �����Ƥ����ͤФʤ�ޤ�����Ԥ� root �Υѥ���ɤ��ΤäƤ��ޤ����� ����ޤ�����Ԥ� root �θ��¤Ǽ¹Ԥ���륵���ФΥХ��Ĥ��� �ͥåȥ�����餽�Υ����Ф���³���� root �θ��¤��ˤ뤳�Ȥ��Ǥ��뤫�� ����ޤ��ҤȤ��ӥ桼����������Ȥ��ˤ�ȡ��桼����������Ȥ��� root �θ��¤��ˤ뤳�Ȥ���ǽ�Ǥ���Ȥ����Х������ SUID-root �ץ������� ¸�ߤ���Ԥ��ΤäƤ��뤫�⤷��ޤ��� ����ޥ����ǡ�����Ԥ� root �θ��¤��ˤ���ˡ���Τä��Ȥ���ȡ� ����Ԥϡ�������ɬ�פʤɤʤ����⤷��ޤ��� ȯ�����졢�դ����줿 root �η��¿���ˤϡ�����Ԥ����������פ�ä����Ȥ��� ��������Ż�������̤��ޤޤ�Ƥ��ޤ��� ���Τ���ˤ�����¿���ι���Ԥ�������ΤǤ����������ϡ�����Ԥ� ���Ф�Τ������ʤ�����Ǥ�������Ԥ������餻�ʤ��褦�ˤ��� �Ȥ������Ȥϡ��������ƥ��ˤȤäƤϼºݤˤ��ɤ��ʤ����Ȥ��⤷��ޤ��� �ʤ��ʤ顢�������뤳�Ȥǡ�����Ԥ��ǽ�˿������Ƥ��뤿��˻��Ѥ��� �������ƥ��ۡ��뤬�դ�����櫓�ǤϤʤ�����Ǥ��� .Pp �������ƥ������������ˡ�ϡ���ˡ� .Dq ���ޥͥ��������� �Τ褦�� ʣ�����ؤΥ��ץ������Ǽ��������٤��Ǥ��������ϼ��Τ褦��ʬ��Ǥ��ޤ��� .Bl -enum -offset indent .It root �ȥ����åդΥ�������Ȥΰ���������롣 .It root �ΰ���������� \(em root ���¤Υ����Ф� SUID/SGID �Х��ʥꡣ .It �桼����������Ȥΰ���������롣 .It �ѥ���ɥե�����ΰ���������롣 .It �����ͥ�Υ�����raw �ǥХ������ե����륷���ƥ�ΰ���������롣 .It �����ƥ���Ф��ƹԤʤä�����Ŭ�ڤ��ѹ��Ф䤯���Ф��롣 .It �м���Ū��ˡ�� .El .Sh root ��������Ȥȥ����åե�������Ȥΰ���������� root �Υ�������Ȥΰ���������ݤ��ʤ��������饹���åդΥ�������Ȥΰ������� ����̤Ƥ⤷����������ޤ��ۤȤ�ɤΥ����ƥ�Ǥϡ�root ��������Ȥ� ������Ƥ��ѥ���ɤ� 1 �Ĥ���ޤ����ޤ��ǽ�ˤ��٤����Ȥϡ� ���Υѥ���ɤ� .Em ���ĤǤ� �����˻�����Ƥ���Ȳ��ꤹ�뤳�ȤǤ��� �����Ǥϡ�root �Υѥ���ɤ�ä��٤����ȸ��äƤ���ΤǤϤ���ޤ��� �ѥ���ɤϡ��ޥ���˥����뤫�饢����������Τˤϡ��ۤȤ�ɤ��ĤǤ� ɬ�פʤ�ΤǤ��������Ǹ��������Τϡ�������ʳ�����ϡ������餯�ϡ� .Xr su 1 �桼�ƥ���ƥ����Ѥ��Ƥ���ѥ���ɤ�Ȥ���褦�ˤ���٤��ǤϤʤ��� �������ȤǤ��� �㤨�С�PTY ���� .Pa /etc/ttys �ե������ .Dq Li unsecure �Ȼ��ꤵ��Ƥ��뤫���ǧ���Ƥ��������� �������뤳�Ȥǡ� .Xr telnet 1 �� .Xr rlogin 1 �ۤ��� root �ǥ�������Ǥ��ʤ��褦�ˤʤ�ޤ��� .Xr sshd 8 �Τ褦�ʡ��̤Υ��������ӥ���ȤäƤ�����Ǥ�Ʊ�ͤˡ� ľ�� root �إ������뤳�Ȥ�����Ƥ��ʤ����ɤ�����ǧ���Ƥ��������� ��������������ʡ��㤨�� .Xr ftp 1 �Τ褦�ʥ����ӥ��������Ӥ��ӥ���å��μ������� ���Ȥ�ͤ��ƤߤƤ���������root ��ľ�ܥ�������Ǥ���Τϡ������ƥॳ���� ���̤����Ȥ��Τߤˤ��٤��Ǥ��� .Pp �����ƥ�����ԤȤ��ơ���ʬ�� root �ˤʤ��褦�ˤ��Ƥ����ͤФʤ�ʤ��� �Ϥ������Ǥ����顢����Ĥ������Ƥ����ޤ����������������η�� ư�����ˤϡ�������ɲäΥѥ����ǧ�ڤ�ɬ�פǤ���褦�ˤ��� �����ޤ���root �ǥ���������ǽ�Ȥ�����ˡ�ΰ�ĤȤ��ơ� Ŭ�ڤʥ����åե�������Ȥ� ( .Pa /etc/group ) �� .Dq Li wheel ���롼�פ˲ä��뤳�Ȥ�����ޤ��� .Li wheel ���롼�פ��֤��줿�����åե��Фˤϡ� .Xr su 1 ��Ȥä� root �ˤʤ뤳�Ȥ�������ޤ����ѥ���ɥ���ȥ�ˤ����ơ� �����åե��Ф� .Li wheel ���롼�פ��֤����Ȥǡ������åե��Ф� .Li wheel �Υ�����������Ϳ���ƤϤ����ޤ������åե��ФΥ�������Ȥ� .Dq Li staff ���롼�פ��֤��٤��Ǥ��������� .Pa /etc/group �ե�������̤��� .Li wheel ���롼�פ˲ä���٤��Ǥ��� �ºݤ� root ����������ɬ�פ� staff ���ФΤ� .Li wheel ���롼�פ��֤��褦�� ���٤��Ǥ���Kerberos �Τ褦��ǧ����ˡ����Ѥ����硢root ��������Ȥ� .Pa .k5login �ե������Ȥäơ�ï�� .Li wheel ���롼�פ��֤�ɬ�פʤ� root �� .Xr ksu 1 ������褦�ˤ��뤳�Ȥ�Ǥ��ޤ��� ���Τ�����Ϥ��褤�����ʤΤ��⤷��ޤ��ʤ��ʤ顢 .Li wheel �Υᥫ�˥��� �Ǥϡ������Ԥ��ѥ���ɥե�����������졢staff ��������ȤΤ����줫 1 �Ĥ��ˤ뤳�Ȥ��Ǥ���ȡ�root ���ˤ뤳�Ȥ��ޤ��Ǥ��Ƥ��ޤ�����Ǥ��� .Li wheel �Υᥫ�˥�����Ѥ������������⤷�ʤ������ɤ��ΤǤ�����ɬ������ �Ǥ�����������Ȥϸ¤�ޤ��� .Pp root ��������Ȥΰ�������������Ū����ˡ�Ȥ��ơ��̤Υ����������� ����ˡ���Ѥ��ơ������åդΥ�������ȤΰŹ沽�ѥ���ɤ�\ * �ˤ��� �������Ȥǡ������åդΥ�������Ȥΰ�����������Τ�����ޤ���������ˡ ���ȡ������Ԥϥѥ���ɥե��������ळ�Ȥ��Ǥ��뤫�⤷��ޤ��� �����åե�������Ȥ��ˤ뤳�ȤϤǤ��ʤ��Ǥ��礦�� �ޤ������Ȥ� root ���Ź沽�ѥ���ɤ�ѥ���ɥե�������դ��Ƥ����Ȥ��Ƥ⡢ root ��������Ȥ��ˤ뤳�ȤϤǤ��ʤ��Ǥ��礦 (�����������ؤ� root �ˤ�륢�����������ꤵ��Ƥ����ΤȤ��ޤ�)�� �����åե��Ф������åե�������Ȥǥ�������ݤˤϡ� .Xr kerberos 1 �� .Xr ssh 1 �Τ褦�ʡ������� / ��̩���θ����Ȥ�Ȥ� �������ι⤤��������λ��Ȥߤ�Ȥ��ޤ���Kerberos �Τ褦�ʻųݤ���Ȥ���硢 ���̤ˡ�Kerberos �����Ф�¹Ԥ���ޥ���ȼ�ʬ�Υǥ����ȥå� ������ơ������Ȥΰ���������ݤ��ʤ���Фʤ�ޤ���SSH �� ������ / ��̩�����Ȥ�Ȥ���硢���̤ˡ��������� .Em �� �ޥ��� (�̾�ϼ�ʬ�Υ�����ơ������) �ΰ���������ݤ��ʤ���Фʤ�ޤ������ǡ� .Xr ssh-keygen 1 �Ǹ����� / ��̩�����Ȥ���������ݡ������Ȥ�ѥ���ɤ��ɸ椹�뤳�Ȥˤ�ꡢ �����Ȥؤ��ɸ��ؤ��ɲä��뤳�Ȥ�Ǥ��ޤ��������åե�������Ȥ� �ѥ���ɤ�\ * �dz������Ȥ��Ǥ���ȡ������Լ��Ȥ����� �����������ι⤤��ˡ�Ǥ��������åե��Ф���������Ǥ��ʤ����Ȥ��ݾ� �Ǥ��ޤ����������ơ�¿���ο����Ԥ��Ȥ�����ʥ������ƥ��η� (���������㤤̵�ط��ʥޥ���ͥåȥ��������������ˡ) ��ɤ��褦�ʥ��å��������롢�������ι⤤�Ź沽���줿�� �ͥ�������Ȥ����Ȥ����åե��������˶������뤳�Ȥ��Ǥ� ��ΤǤ��� .Pp ������Ū�ʥ������ƥ��λ��ȤߤǤϡ����¤ζ��������Ф������¤μ夤 �����Фإ������뤳�Ȥ�����Ȥ��Ƥ��ޤ����㤨�С��ᥤ��ޥ���ǡ� �͡��ʼ���Υ����Ф�¹Ԥ����Ƥ����硢������ơ������ǤϤ����� �����Ф�¹Ԥ����ƤϤʤ�ޤ�������ơ�������ʬ�� �����ˤ��Ƥ�������ˤϡ��¹Ԥ��륵���Фο���Ĥ⥵���� ���¹Ԥ���Ƥ��ʤ��Ȥ������餤�ˤޤǤǤ���¤긺�餹�٤��Ǥ��� �ޤ����ѥ���ɤ��ݸ�줿��������Ф����餻�Ƥ����٤��Ǥ��� ������ơ������ؤ�ʪ��Ū����������Ϳ����줿�Ȥ���ȡ�������� �����ޤǤ�ʤ�������Ԥϴ����Ԥ����ꤷ�������ʤ����Υ������ƥ� ��⤦���ˤ뤳�Ȥ��Ǥ���ΤǤ�������ϡ������ԤȤ���ɬ���ͤ��Ƥ��� �ͤФʤ�ʤ�����Ǥ����������ƥ��ˤ����¿���ϡ��ͥåȥ����ͳ�� ��⡼�Ȥ��顢������ơ������䥵���Фؤ�ʪ��Ū�����������ʤ�� ���ʤ��͡��ˤ�äƹԤ���Ȥ������¤�ޤ���ǰƬ���֤��Ƥ���ɬ�� ������ޤ��� .Pp Kerberos �Τ褦����ˡ��Ȥ����Ȥǡ������åե�������ȤΥѥ���ɤ��ѹ� �⤷������ߤ��ս�ǹԤʤ����Ȥȡ������åե��Ф���������Ȥ���� ���٤ƤΥޥ����¨���ˤ��θ��̤�ڤܤ����Ȥ���ǽ�Ȥʤ�ޤ��������åե��Ф� ��������Ȥ������˻����줿�Ȥ��ˡ����٤ƤΥޥ���ǥ����åե��ФΥѥ���ɤ� ¨�¤��ѹ�����ǽ�Ϥ�ᾮɾ�����ƤϤ����ޤ��ѥ���ɤ�ʬ������Ƥ�������Ǥϡ� N ��Υޥ���ǥѥ���ɤ��ѹ�����ȡ��Ƥ�����λ��֤���ǽ���� ����ޤ���Kerberos ����Ѥ���ȡ��ѥ���ɤκ�ȯ�Ԥ����� (re-passwording restriction) ��ݤ��뤳�Ȥ�Ǥ��ޤ������ε�ǽ��Ȥ����Ȥˤ�ꡢ ���� Kerberos �����åȤФ餯�ФĤȥ����ॢ���Ȥˤ��뤳�Ȥ� �Ǥ�������Ǥʤ���������� (�㤨�С�1 ����� 1 ��) �ФĤȡ��桼���˿������ѥ���ɤ����֤褦���᤹�뤳�Ȥ�Ǥ��ޤ��� .Sh root �ΰ���������� \(em root ���¤Υ����Ф� SUID/SGID �Х��ʥ� �ѿ����������ƥ�����Ԥϡ���ʬ��ɬ�פʥ����Хץ���������������ʤ� �¹Ԥ������ΤǤ����軰�����Υ����Фϡ��褯�Х�����äƤ��������� �������Ȥ����դ��Ʋ��������㤨�С��Ť��С������� .Xr imapd 8 �� .Xr popper 8 ��¹Ԥ����Ƥ����Τϡ��������˶��̤� root �������Ϳ���Ƥ� ��褦�ʤ�ΤǤ��� ��ʬ�����տ��������å����Ƥ��ʤ������Фϡ��褷�Ƽ¹Ԥ��ƤϤ����ޤ��� root �Ǽ¹Ԥ�����ɬ�פΤ��륵���ФϤۤȤ�ɤ���ޤ��� �㤨�С� .Xr talkd 8 , .Xr comsat 8 , .Xr fingerd 8 �ǡ��������̤Ρֺ��� .Dq sandbox �ץ桼���Ǽ¹Ԥ����뤳�Ȥ��Ǥ��ޤ��� .\"kuma hellofalot of trouble �äƲ��䡩 .\" hell of a lot of trouble �ߤ����Ǥ��͡�;-) (����� '99.02.11) �����Ԥ�����ʿ��������ľ�̤��Ƥ��ʤ��Τʤ顢���Ρֺ���פϴ����Ǥ� ����ޤ����������ƥ��˴ؤ��륿�ޥͥ�Ū���ץ������Ϥ����Ǥ� ����Ω���ޤ�������Ǽ¹Ԥ���Ƥ��륵���Хץ��������ͳ���ƿ����� �̤������Ȥ��Ǥ����Ȥ��Ƥ⡢����ԤϤ���˺��줫�鳰��æ�Ф��ʤ���� �ʤ�ޤ�����Ԥ��̲᤻�ͤФʤ�ʤ��ؤο����������������ۤɡ� �����������Ԥ����������������Ψ������ޤ���root ��ȴ����� ���Ū�ˡ����ܥ����ƥॵ���Ф�ޤᡢ root ���¤Ǽ¹Ԥ����ۤȤ�ɤ��٤ƤΥ����Хץ�������ȯ������Ƥ��ޤ��� �桼���� .Xr sshd 8 ��ͳ�ǤΤߥ������� .Xr telnetd 8 , .Xr rshd 8 , .Xr rlogind 8 ��ͳ�ǥ������뤳�Ȥ��褷�Ƥʤ��ޥ�����Ư�����Ƥ���ΤǤ���С� �����Υ����ӥ�����ߤ����Ʋ������� .Pp .Fx �Ǥϡ����Ǥ� .Xr talkd 8 , .Xr comsat 8 , .Xr fingerd 8 �Ϻ���Ǽ¹Ԥ����뤳�Ȥ� �ǥե���ȤˤʤäƤ��ޤ������˺���Ǽ¹Ԥ�����٤��ץ������θ���Ȥ��ơ� .Xr named 8 ������ޤ����ǥե���Ȥ� .Pa rc.conf �ե�����ˤϡ� .Xr named 8 ��Ǽ¹Ԥ��� �����ɬ�פʰ����������ȥ����Ȥ��줿�����Ǵޤޤ�Ƥ��ޤ��������� �����ƥ�ȡ��뤷�Ƥ��뤫������Ȥ��¸�Υ����ƥ�� ���åץ��졼�ɤ��ƻȤäƤ��뤫�˰�¸���ޤ���������Ȥ��ƻ��Ѥ��� ���̤Υ桼����������Ȥ����ȡ��뤵��Ƥ��ʤ����⤷��ޤ��� �ѿ����������ƥ�����ԤǤ���С��Ǥ���������ĤǤ⸦����դ餺�� �����Ф˺����Ź����ΤǤ��礦�� .Pp �̾����Ǽ¹Ԥ��ʤ������Ф�¾�ˤ����Ĥ�����ޤ��� .Xr sendmail 8 , .Xr popper 8 , .Xr imapd 8 , .Xr ftpd 8 �ʤɤǤ��������Τ��������Ĥ��Υ����Фˤ�����Ȥʤ�� �Τ�����ޤ����� ����Τ�Τȡ��뤹��ˤϡ��������¿���λŻ���ɬ�פˤʤ�Τǡ� ��ɤ������������Ƥ��ޤ��ޤ� (�������Ȥ������Ǥ��ޤ��⾡��������櫓�Ǥ�)�� �����Υ����Фϡ�root ���¤Ǽ¹Ԥ��ͤФʤ�ʤ����⤷��ޤ��� �ޤ��� �����Υ����з�ͳ�������뿯�� �Ф��뤿��ˤϡ�¾�λ��Ȥߤ����ʤ��ƤϤʤ�ʤ����⤷��ޤ��� .Pp �����ƥ�� root ���¤�����Ū�ʷ��¾���礭�ʤ�ΤȤ��ơ������ƥ�� ���ȡ��뤵�줿 SUID-root/SGID �Х��ʥ꤬����ޤ��� �����ΥХ��ʥ�ϡ� .Xr rlogin 1 �Τ褦�ˡ� .Pa /bin , /sbin , /usr/bin , /usr/sbin ��¸�ߤ����Τ��ۤȤ�ɤǤ��� 100% �����ʤ�Τ�¸�ߤ��ʤ��ȤϤ����������ƥ�ǥե���Ȥ� SUID/SGID �Х��ʥ�����Ū�����Ȥ����ޤ�������Ǥ�ʤ���root �η꤬ �����ΥХ��ʥ�ˤȤ�����ȯ������Ƥ��ޤ���1998 ǯ�� Xlib �Ǹ��Ĥ��ä� root �η�ϡ� .Xr xterm 1 (���̡�SUID ���ꤵ��Ƥ��ޤ�) ���ǽ�ˤ��Ƥ��ޤ����� �����Ǥ��������褤�Τǡ��ѿ����������ƥ�����Ԥϻ�ǰ�˻פ��ʤ���⡢ �����åդΤߤ��¹Ԥ���ɬ�פ����� SUID �Х��ʥ�ϡ������åդΤߤ� ����������ǽ�����̤ʥ��롼�פ˴ޤ��褦�����¤�ä��� ï��Ȥ�ʤ� SUID �Х��ʥ�� .Pq Dq Li "chmod 000" ��¹Ԥ������դ��Ƥ��ޤ��Ǥ��礦�� �ǥ����ץ쥤������ʤ������Фϡ�����Ū�� .Xr xterm 1 �ΥХ��ʥ��ɬ�פȤ��ޤ��� SGID �Х��ʥ��ۤȤ��Ʊ�ͤδ�����¸�ߤˤʤ����ޤ��� �����Ԥ� kmem �� SGID ���줿�Х��ʥ���ˤ뤳�Ȥ��Ǥ�����硢 ���ο����Ԥ� .Pa /dev/kmem ���ɤ߽Ф����Ȥ��Ǥ���褦�ˤʤ�ޤ��� �Ĥޤꡢ�Ź沽���줿�ѥ���ɥե�������ɤ߽Ф����Ȥ��Ǥ��� �褦�ˤʤ�Τǡ��ѥ���ɤ���ĤɤΥ�������Ȥ�⡢ .Pq ����Ū�� �����˻������Ȥˤʤ�ޤ��� ����ˡ� .Dq Li kmem ���롼�פ��ˤä������Ԥ� PTY ���̤�������줿�������ȥ������� �ƻ�Ǥ��ޤ����������ȥ������ˤϡ���������ˡ�ǥ�������桼�����ȤäƤ��� PTY ��ޤޤ�ޤ��� .Dq Li tty ���롼�פ��ˤä������Ԥϡ��ۤ�Ǥ�դΥ桼���� TTY �� ���ߤ��Ǥ��ޤ����桼����ü���ץ������䥭���ܡ��ɤߥ�졼����� ���뵡ǽ����ä����ߥ�졼����ȤäƤ����硢�����Ԥ�����Ū�ˡ� ��ɤ��Υ桼���Ȥ��Ƽ¹Ԥ���륳�ޥ�ɤ�桼����ü���˥����������� �ǡ������ȥ��������Ǥ����ǽ��������ޤ��� .Sh �桼����������Ȥΰ���������� �桼����������Ȥϡ����̡�����������뤳�Ȥ��Ǥ⺤��Ǥ��� �����åդ��Ф��ơ����ƥʥ��Υɥ饳�Τ褦�ʸ��ʤʥ����������¤�ݤ��� �����åդΥѥ���ɤ�\ * �dz������Ȥ��Ǥ���ȤϤ����������Ԥ��������� ���̥桼�����٤ƤΥ�������Ȥ��Ф���Ʊ�����ȤϤǤ��ʤ����⤷��ޤ��� �����Ԥ���ʬ����Ψ��Ȥ뤳�Ȥ��Ǥ���ʤ顢�����ԤϾ��������桼���� ��������Ȥΰ�����Ŭ�ڤ˳��ݤǤ��뤫�⤷��ޤ����줬 �Ǥ��ʤ��ʤ�С���ꤤ�ä��������ۤäư��̥桼���Υ�������Ȥ� �ƻ뤹����ۤ�����ޤ����̥桼����������Ȥ��Ф� SSH �� Kerberos �����Ѥ��뤳�Ȥˤϡ������ƥ������������������� �ƥ��˥��륵�ݡ��Ȥ�ɬ�פˤʤ�ʤɤ����꤬����ޤ��� ����Ǥ⡢�Ź沽�ѥ���ɥե��������Ӥ���ȤϤ뤫���ɤ���Ǥ��� .Sh �ѥ���ɥե�����ΰ���������� �Ǥ������¿���Υѥ���ɤ�\ * �dz����������Υ�������ȤΥ��������ˤ� SSH �� Kerberos ��Ȥ��褦�ˤ��뤳�Ȥ���ͣ��γμ¤���ˡ�Ǥ������Ȥ��Ź沽 �ѥ���ɥե����� .Pq Pa /etc/spwd.db �� root �ǤΤ��ɤ߽Ф���ǽ���Ȥ��Ƥ⡢ �����Ԥ����Υե�������ɤ߽Ф������������¤����뤳�Ȥϲ�ǽ���⤷��ޤ��� ���Ȥ� root �ν��߸��¤������ʤ��ˤ��Ƥ�Ǥ��� .Pp �������ƥ�������ץȤϾ�˥ѥ���ɥե�������ѹ�������å�������� ����褦�ˤ��٤��Ǥ� (��Ҥ� .Sx �֥ե�����δ������Υ����å��� �Ȥ��Ʋ�����)�� .Sh �����ͥ�Υ�����raw �ǥХ������ե����륷���ƥ�ΰ���������� root �θ��¤��ˤ�ȡ�����Ԥϲ��Ǥ�Ǥ��ޤ����� ��äȴ��ؤʤ��Ȥ⤤���Ĥ�����ޤ����㤨�С��Ƕ�Υ����ͥ�ϡ� �Ȥ߹��ߤΥѥ��å��������ǥХ��� .Pq packet sniffing device �ɥ饤�Ф������Ƥ����Τ��ۤȤ�ɤǤ��� .Fx �Ǥ� .Xr bpf 4 �ǥХ����ȸƤФ�Ƥ��ޤ��������Ԥ����̡������˻����줿 �ޥ���ǥѥ��å��������ץ�������¹Ԥ����褦�Ȼ�ߤޤ��������Ԥ� �虜�虜����������ǽ������ɬ�פϤʤ��Τǡ��ۤȤ�ɤΥ����ƥ�� .Xr bpf 4 �ǥХ������Ȥ߹���٤��ǤϤ���ޤ��� .Pp .Xr bpf 4 �ǥХ��������⥸�塼���������̵���ˤ��Ƥ⡢ .Pa /dev/mem �� .Pa /dev/kmem �Ȥ���Ǻ�ߤμ郎�ޤ��ĤäƤ��ޤ�����������˴ؤ��Ƥϡ������Ԥ� raw �ǥХ����˽��ळ�Ȥ�Ǥ��ޤ��� �ޤ��� .Xr kldload 8 �Ȥ������̤Υ����ͥ뵡ǽ������ޤ��� ��뵤�ޤ�ޤ�ο����Ԥϡ�KLD �⥸�塼���Ȥä� ��ʬ�ȼ��� .Xr bpf 4 �⤷���Ϥ���¾�������ǥХ�����ư����Υ����ͥ�� ���ȡ��뤹�뤳�Ȥ��Ǥ��ޤ��� ����������뤿�ᡢ�����ƥ�����Ԥ� �����ͥ����⤤������٥� .Pq securelevel �����ʤ��Ȥ������٥� 1 �Ǽ¹Ԥ�����ɬ�פ�����ޤ��� .Xr sysctl 8 ��Ȥä� .Va kern.securelevel �ѿ��˰�����٥�����ꤹ�뤳�Ȥ� �Ǥ��ޤ����ҤȤ��Ӱ�����٥�� 1 �����ꤹ��ȡ� raw �ǥХ������Ф�����ߥ��������ϵ��ݤ��졢�㤨�� .Cm schg �Τ褦�����̤� .Xr chflags 1 �ե饰�����̤�ȯ�����ޤ�������˲ä��ơ� ��ư���ˤ����ƽ��פʥХ��ʥꡦ�ǥ��쥯�ȥꡦ������ץȥե�����ʤɡ� ������٥뤬���ꤵ���ޤǤδ֤˼¹Ԥ�����Τ��٤Ƥ��Ф��Ƥ� .Cm schg �ե饰��μ¤� on �ˤ��Ƥ���ɬ�פ�����ޤ���������������Ƥ� �����ޤ������⤤������٥��ư��Ƥ����硢�����ƥ�� ���åץ��졼�ɤ��Ϥ뤫�˺���ˤʤ�ޤ��������ƥ����⤤������٥�� �¹Ԥ�����褦�ˤ��뤬����ŷƻ���ޤβ��ˤ��뤹�٤ƤΥ����ƥ�ե������ �ǥ��쥯�ȥ�� .Cm schg �ե饰�����ꤷ�ʤ��Ȥ����Ŷ�����ˡ�⤢��ޤ��� �⤦��Ĥβ�ǽ���Ȥ��Ƥϡ�ñ��� .Pa / �� .Pa /usr ���ɤ߹������Ѥǥޥ���� ���뤳�ȤǤ�����������ɮ���٤����Ȥϡ������ƥ�������Ȥ��ƥ��ƥʥ��Υɥ饳 �Τ褦�˸�������������ȡ������Ф���Ȥ������˽��פʤ��Ȥ� �Ǥ��ʤ��ʤäƤ��ޤ��Ȥ������ȤǤ��� .Sh �ե�����δ������Υ����å�: �Х��ʥꡢ����ե�����ʤ� ���Ȥ�������˻��ȡ������ƥ�����ԤˤǤ��뤳�Ȥϡ� �������Ȥ������Ǥ����ν���Ƭ��夲�ʤ����٤ˡ� ���������ƥ������ / ����ե�������ɸ椹�뤳�Ȥ����Ǥ��� �㤨�С� .Pa / �� .Pa /usr �ˤ�������ʬ�Υե������ .Cm schg �ӥåȤ����ꤹ�뤿��� .Xr chflags 1 ����Ѥ���Τϡ������餯�ո��̤Ǥ��礦�� �ʤ��ʤ顢�������뤳�Ȥǥե�������ݸ�Ǥ��ޤ����������� ��������Ĥ����Ƥ��ޤ����Ȥˤ�ʤ뤫��Ǥ��� �������ƥ��Υ��ޥͥ��κǸ���ؤϤ����餯�Ǥ���פʤ�Ρ����ʤ�����ФǤ��� �������ƥ��λĤ�Τ�Τϡ������ο����ФǤ��ʤ���С�����ͭ�ѤǤ� ����ޤ���( ���뤤�ϡ���äȰ�����С��ְ�ä����������Ф��봶�Ф� �����դ��Ƥ��ޤ��ޤ� )�� ���ޥͥ��λŻ���Ⱦʬ�ϡ�����Ԥ��ߤ��ΤǤϤʤ����������٤餻�뤳�Ȥˤ�ꡢ ������ι���Ԥ���ޤ��뵡����ؤ�Ϳ���뤳�ȤʤΤǤ��� .Pp �����Ф���Ǥ��ɤ���ˡ�ϡ��ѹ�����Ƥ����ꡢ�ä��Ƥ����ꡢ���줿�Ф��� �ʤ��Τ����äƤ���ե������õ�����ȤǤ��� �ѹ����줿�ե������õ���Τ˺Ǥ��ɤ���ˡ�ϡ��⤦��Ĥ� ( ���Ф�������˽����줿 ) �������������¤��줿�����ƥफ��Ԥʤ���ΤǤ��� ����˰����ǥ����������¤��줿�����ƥ��ǥ������ƥ��ѥ�����ץȤ�С� ������ץȤ�����Ū�ʹ����ã����Ϥܸۤ����ʤ��ʤ�ޤ��� ����Ͻ��פʤ��ȤǤ��� ����¤�ͥ�̤�Ω�Ĥ���ˡ�����Ū�˥ӥ��ͥ��ǻȤ�¾�Υޥ���ؤν��פ� ���������ϡ��������������¤��줿�ޥ���ˤ�餻�ʤ��ƤϤ����ޤ��� ���̤ϡ�¾�Υޥ��饢���������¤��줿�ޥ�����ɤ߹������Ѥ� NFS �������ݡ��Ȥ����ꡢ�����������¤��줿�ޥ���¾�Υޥ���� SSH ��Ԥʤ�����ˡ�SSH ���Υڥ����ä��ꤹ�뤳�ȤǹԤ��ޤ��� �ͥåȥ���Υȥ�ե��å����̤ˤ��ơ�NFS �ϺǤ�Ļ����Τʤ���ˡ�Ǥ��� ���¾帡�Ф���ʤ��ƥ��饤����Ⱦ�Υե����륷���ƥ��ƻ�Ǥ���褦�ˤʤ�ޤ��� �����������¤��줿�����Ф������å����̤��ƥ��饤����Ȥ���³�����硢 �����Ƥ� NFS ������ɤ������Ǥ��������������¤��줿�����Ф��ϥ֤��̤����ꡢ �����Ĥ��Υ롼�ƥ����ؤ��̤����ꤷ�ƥ��饤����Ȥ���³�����硢 NFS �Ϥ��ޤ�ˤ��������ˡ���⤷�줺 ( �ͥåȥ�����̤� )��SSH ������ ǧ�ڤ�ƻ�ڤ��פȤʤäƻĤ�ޤ���������Ǥ����ɤ���ˡ���⤷��ޤ��� .Pp �����������¤��줿�ޥ���ˡ����ʤ��Ȥ�ƻ뤹�뤳�Ȥ�����Ȥ��� ���饤����ȥ����ƥ�ؤ��ɤ߹��ߥ���������ҤȤ���Ϳ����ȡ� �ºݤ˴ƻ뤹�뤿��Υ�����ץȤ�ʤ��ƤϤ����ޤ��� NFS �ޥ���Ȥ�С� .Xr find 1 �� .Xr md5 1 �ʤɤ�ñ��ʥ����ƥ�桼�ƥ���ƥ��ǥ�����ץȤ���Ȥ��Ǥ��ޤ��� ���ʤ��Ȥ� 1 �� 1 ���饤����ȤΥե������ľ�� .Xr md5 1 �ˤ���������ˤ�ä����ˤ� .Pa /etc ����� .Pa /usr/local/etc �ˤ���褦�ʥ���ȥ������ѥե����������Τ����֤Ǥ��� ��ե�����ϡ������������¤��줿�ޥ���Ŭ���Ǥ�����ΤäƤ��롢��Ȥʤ� MD5 �������٤ư㤤�����Ĥ��ä���硢�����ƥ�����Ԥ�Ĵ�٤��ߤ����� �ʤ���褦�ˤ���٤��Ǥ��� ͥ�줿�������ƥ��ѥ�����ץȤϡ� .Pa / ����� .Pa /usr �ʤɤΥ����ƥ�ѡ��ƥ����������Ŭ���� SUID ���줿�Х��ʥ�䡢 �����˺������줿�ե�����������줿�ե����������å�����ΤǤ��礦�� .Pp NFS �ǤϤʤ���SSH ����Ѥ�����ϡ��������ƥ��ѥ�����ץȤ�ΤϤ��ä� �����ȤǤ���������ץȤ饤����Ȥ��鸫����褦�ˤ��� ư��������ˤϡ����饤����Ȥ��Ф��� .Xr scp 1 ��ɬ���Ԥ�ʤ��ƤϤ����ޤ��� �����ơ������Τ��ᡢ������ץȤ��Ȥ��Х��ʥ� ( .Xr find 1 �ʤ� ) �� .Xr scp 1 ����ɬ�פ⤢��ޤ������饤����Ȥ� .Xr sshd 8 �ǡ����Ϥ��Ǥ˴����˻�����Ƥ��뤫�⤷��ޤ��� �ʾ�Τ��Ȥ��顢�����Ǥʤ����ξ��� SSH ��ɬ�פ��⤷��ޤ��� SSH ���ΤϤȤƤ����Ѥʤ��ȤǤ��� .Pp ͥ�줿�������ƥ��ѥ�����ץȤϡ��桼���䥹���åե��Ф� ������������ե����������å������ΤǤ��� .Pa .rhosts , .shosts , .ssh/authorized_keys �ʤɤ�����Ǥ�����MD5 �Υ����å����ϰϳ��ˤʤäƤ��ޤ����⤷��ޤ��� .Pp �桼���ѤΥǥ��������̤������礭�����ϡ��ѡ��ƥ�������γƥե������ ���Ʋ��Τ����Ѥʻ��֤������뤫�⤷��ޤ����ξ��ϡ��ޥ���ȥե饰�� ���ꤷ�ơ����Υѡ��ƥ������� SUID ���줿�Х��ʥ��ǥХ������֤��ʤ��褦�� ����Τ��ɤ��ͤ��Ǥ��� .Cm nodev ����� .Cm nosuid ���ץ���� ( .Xr mount 8 ����) ��Ĵ�٤�����ΤǤ��礦����ʤ顢�Ȥ⤫���⽵�� 1 �٤ϥե����륷���ƥ�� �������Ǥ��礦���ʤ��ʤ顢�����ؤǤ���Ū�ϡ���������̣�����뤫�ɤ����� �ؤ�餺�������Ф��뤳�Ȥ�����Ǥ��� .Pp �ץ�������������ƥ��� ( .Xr accton 8 ����) �ϡ����Ū�����Хإåɤ��㤤���ڥ졼�ƥ������ƥ�ε�ǽ�ǡ� �ޥ���˿�������Ƥ��ޤä����ɾ���λ��ȤߤȤ��ƻ��Ѥ��뤳�Ȥ��� ���ޤ��� �������������Ǥ������ե����뤬̵���Ǥ�����ˡ� �����Ԥ��ºݤˤɤΤ褦�ˤ��ƥ����ƥ�˿����������� ���פ���Τ��ä�ͭ�פǤ��� .Pp �Ǹ�ˡ��������ƥ�������ץȤϥ����ե�������������褦�ˤ��� �����ե����뼫�Τ�Ǥ�������������ι⤤��ˡ�� .Sq ��⡼�� syslog �϶ˤ��ͭ�פˤʤ����ޤ� ��������褦�ˤ��٤��Ǥ��������Ԥϼ�ʬ�ο����κ��פ�ʤ�������� �Ȥ��ޤ������ޤ��������ե�����ϥ����ƥ�����Ԥ��ǽ�ο����λ� �����ˡ�����פ��Ƥ椯����˶ˤ�ƽ��פǤ��� �����ե������ʵפ˻Ĥ��Ƥ�������� 1 �Ĥ���ˡ�ϡ������ƥॳ����� ���ꥢ��ݡ��ȤˤĤʤ������餻���������ƻ뤷�Ƥ�������ʥޥ�����̤��� �䤨�������뤳�ȤǤ��� .Sh �м���Ū��ˡ ¿���м���Ū�ˤʤäƤ�褷�ư������ȤˤϤʤ�ޤ���§Ū�ˡ� �����ƥ�����Ԥϡ��������˱ƶ���Ϳ���ʤ��ϰϤǤ����ĤǤ⥻�����ƥ� ��ǽ���ɲä��뤳�Ȥ��Ǥ��ޤ����ޤ��������餫��θ������̡��������� �ƶ���Ϳ���륻�����ƥ���ǽ���ɲä��뤳�Ȥ�Ǥ��ޤ��� ��äȽ��פʤ��Ȥϡ��������ƥ������ԤϾ��������㤴����� ���٤����Ȥ������ȤǤ��� �Ȥ����Τ⡢���Υޥ˥奢��ڡ����˽�Ƥ��봫��Τޤ��Ѥ������ϡ� ͽ�ۤ���빶��ԤϤ�Ϥꤳ�Υޥ˥奢����ɤ�Ǥ���櫓�Ǥ����顢 �ɸ����ϳ�餷�Ƥ��ޤ����Ȥˤʤ뤫��Ǥ��� .Sh �����ӥ���ǽ���� (DoS attack) �ˤĤ��Ƥ��õ����� ���Υ��������Ǥϥ����ӥ���ǽ������ޤ��������ӥ���ǽ����ϡ����̤ϡ� �ѥ��åȹ���Ǥ����ͥåȥ����˰�¤��������ü�ε�¤�ѥ��å� .Pq spoofed packet ������Ф��ƥ����ƥ�����Ԥ��ǤƤ��Ϥ���ۤ�¿�� ����ޤ�������Ū�ˡ����μ�ι���ˤ�äƥ����Ф������� ���ʤ����Ȥ�μ¤ˤ��뤳�Ȥǡ��ﳲ����٤˿����ߤ�� ���ȤϤǤ��ޤ��� .Bl -enum -offset indent .It �����Ф� fork ������ .It Ƨ���湶������� .Pq ICMP �������⡢ping broadcast �ʤ� .It �����ͥ�η�ϩ����Υ���å��� .El .Pp ���̤˸����륵���ӥ���ǽ����ˡ�fork ���륵���Хץ��������Ф��� ��Τ�����ޤ�������ϡ������Ф˥ץ��������ե����뵭�һҡ������ �����Ԥ������ơ��ޥ�������Ȥ����ΤǤ��� .Xr inetd 8 �����Фˤϡ����μ�ι�������¤��륪�ץ�������Ĥ�����ޤ����ޥ��� �����뤳�Ȥ��ɻߤ��뤳�Ȥϲ�ǽ�Ǥ��������μ�ι���ˤ�ꥵ���ӥ��� �������뤳�Ȥ��ɻߤ��뤳�Ȥϰ���Ū�˸��äƤǤ��ʤ����Ȥ����դ���ɬ�פ� ����ޤ��� .Xr inetd 8 �Υޥ˥奢��ڡ��������տ����ɤ�Dz��������äˡ� .Fl c , C , R ���ץ��������դ��Ʋ�������IP ��¤���� (spoofed-IP attack) �� .Xr inetd 8 �� .Fl C ���ץ���������Τǡ����̤˥��ץ����� �Ȥ߹�碌�ƻ��Ѥ���٤��Ǥ��뤳�Ȥ����դ��Ʋ�������������ɥ������� ����ˤϡ���ʬ���Ȥ� fork �����¤���ѥ�������äƤ����Τ�����ޤ��� .Pp .Xr sendmail 8 �ǡ����ˤϡ� .Fl OMaxDaemonChildren ���ץ������ޤ�����٤ˤ��٤줬����Τǡ� .Xr sendmail 8 ����٤˸³����ߤ��륪�ץ�����Ȥ����⡢ ���Υ��ץ�����Ȥ������ޤȤ��ư����ǽ���ϤϤ뤫�˹⤤�Ǥ��� .Xr sendmail 8 �μ¹ԤϤ���ݤˡ� .Va MaxDaemonChildren �ѥ��������ꤹ��٤��Ǥ��������ͤϡ� �︫̾���ޤ����٤������٤˽�ʬ�⤤���� ��������ο��� .Xr sendmail 8 �����褦�Ȥ���� �ޥ���´�ݤ��Ƥ��ޤ��ۤɤˤϹ⤯�ʤ��褦���ͤ����ꤹ��٤��Ǥ��� .Xr sendmail 8 �� .Dq ���塼���� �⡼�� .Pq Fl ODeliveryMode=queued �Ǽ¹Ԥ��뤳�Ȥ䡢�ǡ���� .Pq Dq Nm sendmail Fl bd �塼�����ѥץ����� .Pq Dq Nm sendmail Fl q15m ���̤˼¹Ԥ��뤳�Ȥ⡢�ѿ��������Ȥȸ����ޤ�������Ǥ�ʤ��ꥢ�륿����Ǥ� ������˾��ΤǤ���С� .Fl q1m �Τ褦�ˤ��뤳�Ȥǡ����塼������Ϥ뤫��û�����ֳִ֤� �Ԥ����Ȥ��Ǥ��ޤ���������ˤ��Ƥ⡢ .Va MaxDaemonChildren ���ץ����˹���Ū���ͤ�μ¤˻��ꤷ�ơ� .Xr sendmail 8 ���ʤ���äƼ��Ԥ��뤳�Ȥ��ʤ��褦�ˤ��Ʋ������� .Pp .Xr syslogd 8 �ǡ�����ľ�ܹ��⤵����ǽ��������Τǡ���ǽ�ʤ�Ф��ĤǤ� .Fl s ���ץ������Ѥ��뤳�Ȥ��侩���ޤ������줬�Ǥ��ʤ��ʤ顢 .Fl a ���ץ�����ȤäƲ������� .Pp tcpwrapper �ε� identd �ʤɤ���³�֤� (connect-back) ��Ԥ������ӥ��� �Ĥ��ƤϽ�ʬ���դ�ʧ���褦�ˤ���٤��Ǥ���������ľ�ܹ����������ǽ���� ����ޤ��������������𤬤���Τǡ�tcpwrapper �ε� ident ��ǽ��Ȥ����Ȥ� �פ�ʤ��Τ�����Ū�Ǥ��� .Pp �����롼���ΤȤ����ǥե���������������ߤ��ơ���������Υ����������Ф��� ���������ӥ����ɸ椹��Ȥ����ͤ��ϼ¤ˤ褤��ΤǤ������ιͤ��ϡ�LAN �γ��� �����˰�¹�����ɤ����Ȥˤ��ꡢroot �ͥåȥ���١����� root ���¤ؤι��⤫�����������ӥ����ɸ椹�뤳�Ȥˤϡ����ޤ��θ��ʧ�ä� ���ޤ��ե�������������Ͼ����¾Ū�����ꤷ�Ʋ��������Ĥޤꡢ .\" .So �֥ݡ��� A, B, C, D �� M ���� Z �ޤ� .Em �ʳ� �Τ��٤Ƥ˥ե���������������ߤ���� .\" .Sc �Ȥ����դ��ˤǤ��� ���Τ褦�ˤ��뤳�Ȥǡ� .Xr named 8 (������Υץ饤�ޥ�Ǥ�����), .Xr talkd 8 , .Xr sendmail 8 �ʤɡ������ͥåȤ˥������������륵���ӥ� �Ȥ����ä˻��ꤹ���ΰʳ��Ρ��������ֹ�Υݡ��Ȥ��٤Ƥ�ե�������������� �ɸ椹�뤳�Ȥ��Ǥ��ޤ����ե��������������¾�Τ�������Ĥޤ� ���Ū�⤷���ϼ���Ū�ʥե�������������Ȥ������ꤷ�褦�Ȥ����硢 .Dq close ���뤳�Ȥ�˺��Ƥ��ޤ������ӥ��������Ĥ��ФƤ����ꡢ���������������ӥ��� �ɲä����Τ˥ե�������������ι�����˺�줿�ꤹ���ǽ�����褯�ФƤ��ޤ��� �ե����������������礭���ֹ�Υݡ��Ȥ��Ƥ����ơ��������ֹ�Υݡ��Ȥ� �����˻������Ȥʤ�����Ū��ư���������Ȥ��Ǥ��ޤ��� .Fx �Ǥϡ� .Va net.inet.ip.portrange �ؤ� sysctl .Pq Dq Li "sysctl net.inet.ip.portrange" , ���������Ѥ��뤳�Ȥǡ� ưŪ�Х���ɤ˻��Ѥ����ݡ����ֹ���ϰϤ�����Ǥ��뤳�Ȥ��ˤȤɤ�� �����Ʋ�����������ˤ��ե�������������������ʣ��������¤Ǥ��ޤ��� ��ϡ��ե���������������̾��first/last ���ϰϤȤ��ơ� 4000 ���� 5000 �� ��̥ݡ��Ȥ��ϰϤȤ��ơ�49152 ���� 65535 ����Ѥ��Ƥ��ޤ��������ơ� (�����Ĥ��Υ����ͥåȥ���������ǽ�ʥݡ��Ȥ� �֥��å������������ΤϤ������Ǥ���) 4000 ��겼�Τ��٤Ƥ�֥��å����Ƥ��ޤ��� .Pp �ޤ��̤Τ���դ줿�����ӥ���ǽ����Ȥ��ơ�Ƨ���湶�� (springboard attack) �ȸƤФ���Τ�����ޤ�������ϡ������Ф���ʬ���ȡ���������ͥåȥ���� ������¾�Υޥ�������٤��ɤ�����褦�ʱ�����������������ˡ�ǥ����Ф� ���⤷�ޤ������μ�ι������ǺǤ⤢��դ줿��Τϡ�ICMP PING BROADCAST ���⤬����ޤ�������Ԥϡ��ºݤ˹��⤷�����ޥ���Υ��ɥ쥹���� ���ɥ쥹�����ꤷ�� ping �ѥ��åȤ�¤���ơ��оݤ� LAN �� �֥����ɥ��㥹�ȥ��ɥ쥹�˸����ƥѥ��åȤ��������ޤ��������ˤ���롼���� �֥����ɥ��㥹�ȥ��ɥ쥹���Ф��� ping �ѥ��åȤ��٤��褦�����ꤵ��Ƥ��ʤ� ��硢LAN�ϡ����Τ��줿���������ɥ쥹�˸����Ʊ����ѥ��åȤ���������Ϥ�ˤʤꡢ�����Ȥʤ�ޥ���˰�¤���Ȥ����ޤǹԤäƤ��ޤ��ޤ�������Ԥ�Ʊ���ȥ�å��� �ۤʤ�ͥåȥ����Τ����Ĥ�Υ֥����ɥ��㥹�� ���ɥ쥹���Ф���Ʊ���˻��Ѥ�����硢�Ȥ��ˤҤɤ����Ȥˤʤ�ޤ��� ����ޤǤˡ�120 �ᥬ�ӥåȰʾ�Υ֥����ɥ��㥹�ȹ��⤬��¬����Ƥ��ޤ��� 2 ���ܤ�Ƨ���湶��ϡ�ICMP ���顼���λųݤ���������ΤǤ���ICMP ���顼 ��������������ѥ��åȤ��������뤳�Ȥˤ�ꡢ����Ԥϥ����Ф� �����ͥåȥ����˰�¤����뤳�Ȥ��Ǥ���Ʊ���ˡ������Ф����� �ͥåȥ���� ICMP ������˰�¤�����褦�ˤ��뤳�Ȥ��Ǥ��ޤ��� .Vt mbuf ����Ԥ������뤳�Ȥˤ�ꡢ���μ�ι���ǥ����Ф� ����å��夵���뤳�Ȥ��ǽ�Ǥ��������Ф� ICMP ����������®��ơ� ICMP �������������ɤ��դ��ʤ���硢�Ȥ��ˤҤɤ����Ȥˤʤ�ޤ��� .Fx �����ͥ�ˤϡ����μ�ι���θ��̤��������� .Dv ICMP_BANDLIM �ȸƤФ�뿷��������ѥ��륪�ץ������ޤ��� 3�Ĥ�μ��פʥ��饹��°��Ƨ���湶��ϡ�UDP echo �����ӥ��Τ褦�ʡ� ���������� .Xr inetd 8 �����ӥ��˴�Ϣ�����ΤǤ�������Ԥϡ�ñ�� ���������ɥ쥹�������� A �� echo �ݡ��ȤǤ��ꡢ�ǥ����ƥ��͡������ ���ɥ쥹�������� B �� echo �ݡ��ȤǤ��뤫�Τ褦�� UDP �ѥ��åȤ� ��¤���ޤ��������ǥ����� A, B �ϤȤ�˼�ʬ�� LAN ����³����Ƥ��ޤ��� ���� 2 �ĤΥ����Фϡ����ΰ�ĤΥѥ��åȤ�ξ�Ԥδ֤Ǹߤ��������Ф��� �Ǥ��֤������ޤ������Τ褦�ˤ��ƥѥ��åȤ��Ĥ�������������ǡ� ����Ԥ�ξ���Υ����Ф� LAN �����پ��֤ˤ��뤳�Ȥ��Ǥ��ޤ��� Ʊ�ͤ����꤬���� chargen �ݡ��Ȥˤ�¸�ߤ��ޤ���ͭǽ�ʥ����ƥ�����Ԥ� ���μ�� .Xr inetd 8 �����ƥ��ȥ����ӥ��Τ��٤Ƥ�̵���ˤ��Ƥ�����ΤǤ��� .Pp ��¤�ѥ��åȹ���ϡ������ͥ�η�ϩ����å���˲���٤����������뤿��� �Ѥ����뤳�Ȥ⤢��ޤ��� .Va net.inet.ip.rtexpire , net.inet.ip.rtminexpire , net.inet.ip.rtmaxcache �� .Xr sysctl 8 �ѥ����Ȥ��Ʋ��������Ǥ����ʥ����� IP ���Ѥ��� ���ε�¤�ѥ��åȹ���ˤ�ꡢ�����ͥ�ϡ����Ū�ʥ���å����ϩ�� ��ϩ����ơ��֥���������ޤ�������� .Dq Li "netstat -rna | fgrep W3" . �Ǹ��뤳�Ȥ��Ǥ��ޤ��������η�ϩ�ϡ����̤� 1600 �����٤ǥ����ॢ���Ȥ� �ʤ�ޤ��������ͥ뤬����å����ϩ�ơ��֥뤬�礭���ʤ������Ȥ� ���Τ���ȡ������ͥ��ưŪ�� .Va rtexpire �餷�ޤ����� .Va rtminexpire ��꾮�����ʤ�褦�ˤϷ褷�Ƹ��餷�ޤ����������꤬ 2 �Ĥ���ޤ��� (1) ��٤ηڤ������Ф��������⤵�줿��硢�����ͥ뤬��ʬ���ȿ�� �Ǥ��ʤ����ȡ�(2) �����ͥ뤬������Ѥ�������Ӥ���ۤɽ�ʬ .Va rtminexpire ���㤯���ꤵ��Ƥ��ʤ����ȡ��� 2 �ĤǤ��� ��ʬ�Υ����Ф� T3 �⤷���Ϥ����� �ɼ��β����ǥ����ͥåȤ���³����Ƥ����硢 .Xr sysctl 8 ���Ѥ��� .Va rtexpire �� .Va rtminexpire �Ȥ��ư�Ǿ���Ƥ������Ȥ���θ�������� �Ȥ����ޤ��� (��ʬ�Υޥ����å��夵�������ʤ��ΤǤ���� :-)) �ɤ��餫�����Ǥ� 0 �� �Ϸ褷�Ƥ��ʤ��Dz�������ξ�ѥ����� 2 �ä����ꤹ��С� ���⤫���ϩ����ơ��֥����ˤϽ�ʬ�Ǥ��礦�� .Sh Kerberos ����� SSH ���Ѥ����������������� �⤷���ʤ�����Kerberos ����� SSH ����Ѥ������Τ��Ȥ����顢ξ�Ԥ˴ؤ��� ���äƤ���ɬ�פΤ������꤬�����Ĥ�����ޤ��� Kerberos5 ������ͥ�줿ǧ�ڥץ��ȥ���Ǥ�����kerberos �����줿 .Xr telnet 1 �� .Xr rlogin 1 �ϡ��Х��ʥꥹ�ȥ����Τ��Ը����ˤʤäƤ��ޤ��褦�ʥХ�������ޤ��� ����ˡ��ǥե���ȤǤϡ�Kerberos �� .Fl x ���ץ�����Ȥ�ʤ��¤ꥻ�å�����Ź沽���Ƥ���ޤ��� SSH �Ǥϡ��ǥե���ȤǤ��٤Ƥ�Ź沽���Ƥ���ޤ��� .Pp SSH �Ϥ�������̤ǤȤƤ��ɤ�Ư���Ƥ���ޤ����������� �Ź渰�����äƤ��ޤ���������ФǤ�������ϤĤޤꡢ�Ź渰����ä������� ������ơ�������äơ����ΰŹ渰�ǻĤ�Υ����ƥ�ȥ��������Ǥ��� �褦�ˤʤäƤ�����Ǥϡ������Ǥʤ��ޥ���� .Xr ssh 1 ��Ԥʤ����˰Ź渰�� �����Ƥ��ޤ��Ȥ������ȤǤ����ºݤθ����Τ�Τ������Ƥ��ޤ��櫓�Ǥ� ����ޤ��� .Xr ssh 1 �ϡ�login ���Ƥ���֡������ѥݡ��Ȥ���ޤ��� ����Ԥ������Ǥʤ��ޥ���� root ���ˤ�ȡ�����Ԥϡ� ���Υݡ��Ȥ�ȤäưŹ渰����������Ź渰�ǥ��å��γ����¾�Υޥ���ؤ� �������������ޤ��� .Pp staff �Υ�������ˤϡ�Kerberos ���Ȥ߹礻�� SSH ����Ѥ��뤳�Ȥ�ޤ��� SSH �ϡ�Kerberos �Ȱ��˥���ѥ���Ǥ��ޤ�����������ȡ������� ���ޤ����⤷��ʤ� SSH ���ޤꤢ�Ƥˤ��ʤ����ɤ��褦�ˤʤ�ޤ��� �ޤ��������Ʊ���ˡ�Kerberos ��ͳ�ǥѥ���ɤ��ݸ�뤳�Ȥ�Ǥ��ޤ��� SSH ���ϡ������ʥޥ���μ�ư�����줿������ (Kerberos �Ǥ��Ը����� ��Τʤ� ) �ѤΤߤ˻��Ѥ���٤��Ǥ����ޤ���SSH ������� SSH ��������ʤ��褦�ˤ��뤫�����뤤�ϡ� .Pa authorized_keys �ե�������� .Va from Ns = Ns Ar IP/DOMAIN ���ץ�������Ѥ��ơ�����Υޥ���������Ƥ�����ΤΤߤ� ͭ���ˤʤ븰�� SSH �������Ǥ���褦�ˤ��뤳�Ȥ��ޤ��� .Sh ��Ϣ���� .Xr chflags 1 , .Xr find 1 , .Xr md5 1 , .Xr netstat 1 , .Xr openssl 1 , .Xr ssh 1 , .Xr xdm 1 , .Xr group 5 , .Xr ttys 5 , .Xr accton 8 , .Xr init 8 , .Xr sshd 8 , .Xr sysctl 8 , .Xr syslogd 8 , .Xr vipw 8 .Sh ��� .Nm �ޥ˥奢��ڡ����ϡ���Ȥ�� .An Matthew Dillon �ˤ�äƽ졢 1998 ǯ 12 ��� .Fx 3.1 �ǤϤ�����о줷�ޤ����� .\" translated by Norihiro Kumagai, 98-12-29