NRPC プロトコルは、非認証トランザクションを使用して、Lotus Notes をセットアップする際に、ユーザーを参照し ID ファイルを取得します。この非認証トランザクションはユーザーが最初に登録された場合や、ローミングユーザーが新しいクライアントから接続する際に限り、発生するものです。
アドバイザリーに記載されているように、想像でユーザー名のリストを作成し、非認証の名前参照トランザクションを使って、ユーザー名の参照を試みることが可能です。実際にユーザー名が存在し、かつ ID ファイルがユーザー文書に含まれている場合には、攻撃者がユーザー ID をダウンロードすることも考えられます。ID ファイルを使用するためには、攻撃者はパスワードのブルートフォース攻撃 (総当たり攻撃) を行う必要があります。
BLOCK_LOOKUPID=1
非認証の名前参照トランザクションで、ユーザー文書は存在したが ID ファイルがない場合、エラーメッセージが 今までの "No ID file found for this user" から "User not found in Directory" に変更されます。これにより、非認証トランザクションからディレクトリ上の ID ファイルがないユーザーに対する有効性の確認が行えなくなります。このケースにおいては、新規ユーザーのセットアップ時やローミングユーザーの処理においては ID ファイルを取得することができます。
BLOCK_LOOKUPID=2
非認証の名前参照トランザクションで、常に "User not found in directory" を返します。この設定にすると、今回報告された問題を完全に防ぐことができます。ただし、ユーザー文書に添付された ID ファイルを利用して Lotus Notes クライアントをセットアップすることができなくなります。また、ローミングユーザーの動作にも影響を与えます。この設定を使用する場合、新規ユーザーに対して事前に ID ファイルを配布しておく必要があります。ローミングユーザーについては、Lotus Notes の終了時にローカルにあるファイルを削除する構成が取れなくなります。
リスクの低減について
リストを低減するために、管理者は Domino ディレクトリに ID ファイルが長期間残らないように注意してください。また、新規ユーザーに対して ID ファイルを物理的に配布する方法を検討してください。Domino ディレクトリに ID ファイルを添付する必要がある場合には、初期パスワードは堅牢なものにしてください。
2008 IBM Corporation. All rights reserved.
Material may not be reproduced or distributed in any form without permission.
掲載内容は 11/10/2006 現在の情報です。内容は事前の予告なく変更することがあります。
Lotus Domino、Lotus NotesはIBMの商標。その他、記載された社名および製品名は、それぞれ各社の商標または登録商標です。
