TCP/IP コマンドのセキュリティー
TCP/IP の一部のコマンドは、作動時に安全な環境を提供します。 そのコマンドは、ftp、rexec、および telnet です。
ftp 機能は、ファイル転送時のセキュリティーを提供します。 rexec コマンドは、外部ホスト上でコマンドを実行するために安全な環境を提供します。 telnet 機能は、外部ホストへログインするためのセキュリティーを提供します。
ftp、rexec、 および telnet コマンドは、 それぞれのコマンドの作動時にのみセキュリティーを提供します。 つまり、これらのコマンドは他のコマンド用に安全な環境をセットアップするわけではないということです。 他の操作についてシステムの安全を保護するためには、securetcpip コマンドを使用します。 このコマンドを使用すると、システムの安全を保護するために、 非トラステッド・デーモンや非トラステッド・アプリケーションを使用不可にしたり、 IP 層ネットワーク・プロトコルの安全を保護するオプションを使用したりすることができます。
ftp、rexec、securetcpip、telnet の各コマンドは、次の形態のシステム・セキュリティーとデータ・セキュリティーを提供します。
- ftp
- ftp コマンドは、ファイル転送するための安全な環境を提供します。 外部ホストへの ftp コマンドを呼び出すと、ログイン ID の入力を求めるプロンプトが表示されます。
デフォルトのログイン ID として、そのユーザーのローカル・ホスト上での現行ログイン ID が表示されます。 また、リモート・ホスト用のパスワードの入力を求めるプロンプトが表示されます。
自動ログイン・プロセスがそのローカル・ユーザーの $HOME/.netrc ファイルを検索し、外部ホストで使用するユーザーの ID とパスワードを見つけます。セキュリティーを確保するために、$HOME/.netrc ファイルについてのアクセス権は 600 (所有者による読み取りと書き込みのみ) に設定しておかなければなりません。これを行わないと、自動ログインは失敗します。
注: .netrc ファイルを使用するには暗号化されていないファイルにパスワードを保管する必要があるため、システムを securetcpip コマンドで構成した場合には ftp コマンドの自動ログイン機能を利用することはできません。 この機能は、/etc/security/config ファイル内の tcpip スタンザから ftp コマンドを除去すると、再び使用可能にすることができます。ftp コマンドでは、ファイル転送機能を使用するために 2 つの TCP/IP 接続が必要になります。 1 つはファイル転送プロトコル (FTP) 用で、もう 1 つはデータ転送用です。 プロトコル接続は 1 次接続であり、信頼できる通信ポート上で確立されるので安全です。 2 次接続は実際のデータ転送に必要で、ローカル・ホストとリモート・ホストはどちらも、 この接続の相手側エンドが 1 次接続と同じホストを使用して確立されているかどうかを検査します。 1 次接続と 2 次接続が同じホストを使用して確立されていない場合、ftp コマンドはデータ接続が認証されなかったことを示すエラー・メッセージを表示した後、終了します。 この 2 次接続の検査により、第 3 のホストが別のホストあてのデータを代行受信できなくなります。
- rexec
- rexec コマンドは、外部ホスト上でコマンドを実行するための安全な環境を提供します。 ユーザーは、ログイン ID とパスワードの両方の入力を求められます。
自動ログイン機能を使用すると、rexec コマンドはローカル・ユーザーの $HOME/.netrc ファイルを検索して、そのユーザーの外部ホスト用の ID とパスワードを見つけます。セキュリティーを確保するために、$HOME/.netrc ファイルについてのアクセス権は 600 (所有者による読み取りと書き込みのみ) に設定しておかなければなりません。これを行わないと、自動ログインは失敗します。
注: .netrc ファイルを使用するには暗号化されていないファイルにパスワードを保管する必要があるため、システムがセキュア・モードで作動している場合は rexec コマンドの自動ログイン機能を使用することはできません。 この機能は、/etc/security/config ファイルの tcpip スタンザから エントリーを除去すれば、再び使用可能にすることができます。 - securetcpip
- securetcpip コマンドは、TCP/IP セキュリティー機能を使用可能にします。 非トラステッド・コマンドへのアクセスは、このコマンドが入力された時点でシステムから除去されます。 次の各コマンドは、securetcpip コマンドを実行すると除去されます。
securetcpip コマンドは、システムを標準レベルのセキュリティーから、さらに上位のセキュリティー・レベルに変換するために使用します。 一度システムが変換されたら、TCP/IP を再インストールする場合以外、securetcpip コマンドを再度入力する必要はありません。
- telnet または tn
- telnet (TELNET) コマンドは、外部ホストへログインするために安全な環境を提供します。 ユーザーは、ログイン ID とパスワードの両方の入力を求められます。 ユーザーの端末は、ホストへ直接接続した端末とまったく同様に扱われます。 つまり、端末へのアクセスは、許可ビットによって制御されます。 他のユーザー (グループと他のユーザー) は、その端末への読み取りアクセス権を持っていませんが、 所有者から書き込み許可を得た場合はその端末へメッセージを書き込むことができます。 telnet コマンドを使用すると、 SAK を使用してリモート・システム上のトラステッド・シェルにアクセスすることもできます。 このキー・シーケンスは、ローカル・トラステッド・パスを起動するシーケンスとは異なり、telnet コマンドの内部で定義できます。