manページ  — OPIEACCESS

/etc/opieaccess - 信頼できるネットワークの OPIE(One-time Password In Everything) データベース

解説 関連項目 作者 連絡先

opieaccess ファイルは、受動攻撃に対するセキュリティに関して、そのシステム が信頼しても構わないと考えられるネットワークのリストを含みます。 ここで、信頼できるネットワークからのユーザは、OPIE 応答を用いてログインする ことができますが、必ずしも OPIE 応答を使う必要はありません。一方、 信頼できないネットワークからのユーザは、必ず OPIE 応答を使う (これがデフォルトの動作) 必要があります。 "内側の" ネットワークに関しては、そのサイトに対して OPIE の使用を強制 しませんし、また、OPIE を使って自分のパスワードを保護するかどうかを ユーザが選ぶことができるので、この信頼関係により、サイトがよりスムーズに OPIE に移行することができます。

OPIE システムは受動攻撃からユーザを保護するものですが、 opeiaccess ファイルで実装された信頼という全概念は、 それと同様の受動攻撃に対して システムのバックアップをオープンにしてしまいます。 従って、この信頼という概念は重大なセキュリティホールとなります。 本バージョンの OPIE にこのような opieaccess が存在するのは、ひとえに、OPIE を使いたくないユーザのせいで自分の アカウントを破られたくないユーザが OPIE を使えなくなるよりも、 このようなユーザが OPIE を使えるようにすることの方がよいと信じているためです。 どのような環境であれ、 trust 機能を活かした本バージョンの OPIE は移行のためのツールと考えるべきで、 永久に使い続けるべきではありません。 移行のためのツールとして使う必要がなくなった時点で、 opieaccess ファイルをサポートしないバージョンの OPIE を構築し、OPIE システムの 裏をかくための手段としてこのファイルを使おうとする攻撃者にチャンスを 与えないようにする必要があります。

opieaccess は、以下のように空白で区切られた 3 つのフィールドからなる行から構成されます (区切りとしてタブも正しく解釈されますが、空白を代わりに使って下さい)。

フィールド名内容
actionOPIEを利用しないログインを "許可" もしくは "拒否" します
address照合するネットワークのアドレスです
mask照合のためのネットワークのマスクです

サブネットは適切なアドレスとマスクを使うことで制御されます。 個々のホストは 255.255.255.255 のマスクと適切なアドレスを使うことで 制御されます。 どの規則も一致しない場合、デフォルトでは OPIE 無しのログインは拒否されます。

Bellcore の S/Key は Bellcore の Phil Karn, Neil M. Haller, John S. Walden によって書かれました。 OPIE は NRL で Randall Atkinson, Dan McDonald, Craig Metz によって作成 されました。 S/Key は Bell Communications Research (Bellcore) のトレードマークです。

OPIE は Bellcore の "S/Key Users" メーリングリストで議論されました。 参加するためには、電子メールを以下の所に送って下さい。

skey-users-request@thumper.bellcore.com