136 lines
4.6 KiB
Groff
136 lines
4.6 KiB
Groff
.\" jpman %Id: skey.access.5,v 1.3 1998/08/09 12:54:01 horikawa Stab %
|
|
.TH SKEY.ACCESS 5
|
|
.SH 名称
|
|
skey.access \- S/Key パスワード制御テーブル
|
|
.SH 解説
|
|
S/Key パスワード制御テーブル (\fIetc/skey.access\fR) は
|
|
\fIlogin\fR のようなプログラムが使用し、
|
|
システムアクセスのために UNIX パスワードをいつ使用するかを決定します。
|
|
.IP \(bu
|
|
テーブルが存在しない場合は、パスワード制限はありません。
|
|
ユーザは UNIX パスワードあるいは S/Key パスワードを入力することができます。
|
|
.IP \(bu
|
|
テーブルが存在する場合は、
|
|
明白に記述されている場合のみ UNIX パスワードが許可されます。
|
|
.IP \(bu
|
|
ただし、システムコンソールからは常に UNIX パスワードは許可されます。
|
|
.SH テーブルの書式
|
|
テーブルのフォーマットは 1 行当たり 1 ルールです。
|
|
ルールは順番に検索されます。
|
|
最初に条件が合うルールが見つかったとき、
|
|
またはテーブルの最後に到達したとき、検索は終了します。
|
|
.PP
|
|
ルールのフォーマットは次の通りです:
|
|
.sp
|
|
.in +5
|
|
permit 条件\ 条件...
|
|
.br
|
|
deny 条件\ 条件...
|
|
.in
|
|
.PP
|
|
.I permit
|
|
と
|
|
.I deny
|
|
の後には 0 個以上の条件を記述可能です。
|
|
コメントは `#\' で始まり、行末までコメントになります。
|
|
空行やコメントのみの行は無視されます。
|
|
.PP
|
|
すべての条件が満たされるときにルールがマッチします。
|
|
条件のないルールは常に満たされます。
|
|
例えば、最後のエントリは語
|
|
.I deny
|
|
のみとなっているかもしれません。
|
|
.SH 条件
|
|
.IP "hostname wzv.win.tue.nl"
|
|
wzv.win.tue.nl というホストからログインしたとき真になります。
|
|
警告の節を参照してください。
|
|
.IP "internet 131.155.210.0 255.255.255.0"
|
|
131.155.210 のネットワークからログインしたら真になります。
|
|
ネットワークアドレスとネットマスクは次の書式になります。
|
|
.sp
|
|
.ti +5
|
|
internet net mask
|
|
.sp
|
|
mask とのビットごとの論理積が net と等しくなるインターネットアドレスを
|
|
ホストが持つ場合、式は真になります。
|
|
警告の節を参照してください。
|
|
.IP "port ttya"
|
|
ログインしている端末が
|
|
.IR /dev/ttya
|
|
ならば真になります。
|
|
UNIX パスワードはシステムコンソールからの
|
|
ログインには常に許されている点は憶えておいてください。
|
|
.IP "user uucp"
|
|
.IR uucp
|
|
ユーザがログインしようとしたとき真になります。
|
|
.IP "group wheel"
|
|
.I wheel
|
|
グループとしてログインしようとしたとき真になります。
|
|
.SH 互換性
|
|
過去の互換性のために、
|
|
.I internet
|
|
というキーワードはネットワークアドレスとマスクのパターンから
|
|
省略可能です。
|
|
.SH 警告
|
|
S/Key 制御テーブル (\fI/etc/skey.access\fR) が存在する場合、
|
|
S/Key パスワードを持たないユーザは、
|
|
UNIX パスワードの使用が許されるところからのみログインが許されます。
|
|
特に \fIlogin(1)\fR が擬似 tty (例えば \fIxterm(1)\fR や \fIscreen(1)\fR の中)
|
|
から起動される場合、
|
|
コンソールからのログインでもなければ
|
|
ネットワークからのログインでもないと扱われますので、
|
|
S/Key パスワードの使用が義務づけられます。
|
|
このような状況で起動される \fIlogin(1)\fR は、
|
|
S/Key パスワードを持たないユーザに対しては必ず失敗します。
|
|
.PP
|
|
いくつかのルール型は、ネットワークを通じて与えられるホスト名やアドレス情報に
|
|
依存しています。
|
|
このことから考えられる、システムに UNIX パスワードを許させる攻撃の一覧を
|
|
示します。
|
|
.IP "ホストアドレス偽造 (ソースルーティング)"
|
|
侵入者は自分のインタフェースを信頼されているネットワーク内のアドレス
|
|
として構成し、
|
|
そのソースアドレスを使用して、被害者に接続します。
|
|
誤ったクライアントアドレスを与えられると、
|
|
ホストアドレスに基づくルールもしくは
|
|
アドレスから導かれるホスト名に基づくルールを元にして、
|
|
被害者は間違った結論を導きます。
|
|
.sp
|
|
対処法: (1) ネットワークからの UNIX パスワードを用いたログインを許さない。
|
|
(2) ソースルーティング情報を捨てるネットワークソフトウェアを使う
|
|
(例えば、tcp wrapper)。
|
|
.PP
|
|
ほとんどのネットワークサーバはクライアントのネットワークアドレスから
|
|
クライアントの名前を解決します。
|
|
それゆえ、次の明らかな攻撃は以下のようになります。
|
|
.IP "ホスト名偽造 (悪い PTR レコード)"
|
|
誤ったホスト名を与えられると、
|
|
ホスト名に基づくルールもしくは
|
|
ホスト名から導かれるアドレスに基づくルールを元にして、
|
|
被害者は間違った結論を導きます。
|
|
.sp
|
|
対処法: (1) ネットワークからの UNIX パスワードを用いたログインを許さない。
|
|
(2) ホスト名からクライアントのネットワークアドレスを解決できることを確認する
|
|
ネットワークソフトウェアを使用する
|
|
(例えば、tcp wrapper)。
|
|
.PP
|
|
UNIX の login プログラムのように、
|
|
クライアントのホスト名からクライアントのネットワークアドレスを
|
|
求める必要があるアプリケーションが存在します。
|
|
今述べた攻撃に加えて、もう 1 つの可能性があります。
|
|
.IP "ホストアドレスの偽造 (余分な A レコード)"
|
|
侵入者はクライアントのホスト名について (もまた)、信頼されたアドレスとして
|
|
解決させるためにネームサーバシステムを操作します。
|
|
.sp
|
|
対処法: (1) ネットワークからの UNIX パスワードを用いたログインを許さない。
|
|
(2) skeyaccess() は他の人が属するネットワークアドレスを無視する。
|
|
.SH 診断
|
|
構文エラーは syslogd に報告されます。
|
|
エラーが見つかったらそのルールはスキップされます。
|
|
.SH 関連ファイル
|
|
/etc/skey.access パスワード制御テーブル
|
|
.SH 作者
|
|
.nf
|
|
Wietse Venema
|
|
Eindhoven University of Technology
|
|
The Netherlands
|