名称

/etc/opieaccess -信頼できるネットワークの OPIE (One-time Password In Everything) データベース

解説

opieaccess ファイルは、受動攻撃に対するセキュリティに関して、そのシステムが信頼しても構わないと考えられるネットワークのリストを含みます。ここで、信頼できるネットワークからのユーザは、OPIE 応答を用いてログインすることができますが、必ずしも OPIE 応答を使う必要はありません。一方、信頼できないネットワークからのユーザは、必ず OPIE 応答を使う (これがデフォルトの動作) 必要があります。 "内側の"ネットワークに関しては、そのサイトに対して OPIE の使用を強制しませんし、また、 OPIE を使って自分のパスワードを保護するかどうかをユーザが選ぶことができるので、この信頼関係により、サイトがよりスムーズに OPIE に移行することができます。 OPIE システムは、受動攻撃からユーザを保護するものですが、 opeiaccess ファイルで実装された信頼という全概念は、それと同様の受動攻撃に対してシステムのバックアップをオープンにしてしまいます。従って、この信頼という概念は、重大なセキュリティホールとなります。本バージョンの OPIE にこのような opieaccess が存在するのは、ひとえに、OPIE を使いたくないユーザのせいで自分のアカウントを破られたくないユーザが OPIE を使えなくなるよりも、このようなユーザが OPIE を使えるようにすることの方がよいと信じているためです。どのような環境であれ、 trust 機能を活かした本バージョンの OPIE は、移行のためのツールと考えるべきで、永久に使い続けるべきではありません。移行のためのツールとして使う必要がなくなった時点で、 opieaccess ファイルをサポートしないバージョンの OPIE を構築し、OPIE システムの裏をかくための手段としてこのファイルを使おうとする攻撃者にチャンスを与えないようにする必要があります。 opieaccess は、以下のように空白で区切られた 3 つのフィールドからなる行から構成されます (区切りとしてタブも正しく解釈されますが、空白を代わりに使って下さい)。

フィールド名 内容
action OPIE を利用しないログインを "許可"または "拒否"します
address 照合するネットワークのアドレスです
mask 照合のためのネットワークのマスクです

サブネットは、適切なアドレスとマスクを使うことで制御されます。個々のホストは、255.255.255.255 のマスクと適切なアドレスを使うことで制御されます。どの規則も一致しない場合、デフォルトでは OPIE 無しのログインは、拒否されます。

関連項目

ftpd(8) login(1), opie(4), opiekeys(5), opiepasswd(1), opieinfo(1), su(1),

作者

Bellcore の S/Key は、Bellcore の Phil Karn, Neil M. Haller と John S. Walden によって書かれました。 OPIE は、Randall Atkinson, Dan McDonald と Craig Metz によって NRL で作成されました。 S/Key は、Bell Communications Research (Bellcore) のトレードマークです。

連絡先

OPIE は、Bellcore の "S/Key Users"メーリングリストで議論されています。参加するためには、次に電子メールの要求を送って下さい。 skey-users-request@thumper.bellcore.com