SKEY.ACCESS(5)

명칭
skey.access - S/Key 패스워드 제어 테이블

해설
S/Key 패스워드 제어 테이블 (/etc/skey.access) 하 login(1) (와)과 같은 프로그램이 사용해, 시스템 액세스를 위해서(때문에) UNIX 패스워드를 언제 사용할까를 결정합니다.

•   테이블이 존재하지 않는 경우는, 패스워드 제한은 없습니다. 유저는 UNIX 패스워드 혹은 S/Key 패스워드를 입력할 수가 있습니다.

•   테이블이 존재하는 경우는, 명백하게 기술되고 있는 경우만 UNIX 패스워드가 허가됩니다.

•   다만, 시스템 콘솔로부터는 항상 UNIX 패스워드는 허가됩니다.

테이블의 서식
테이블의 포맷은 1 행 당 1 룰입니다. 룰은 차례로 검색됩니다. 최초로 조건이 맞는 룰이 발견되었을 때, 또는 테이블의 마지막에 도달했을 때, 검색은 종료합니다.

룰의 포맷은 다음과 같습니다:

permit 조건 조건 ...
deny 조건 조건 ...

permit (와)과 deny 의 후에는 0 개 이상의 조건 (을)를 기술 가능합니다. 코멘트는 ‘#’ 그리고 시작되어, 줄 끝까지 코멘트가 됩니다. 공행이나 코멘트만의 행은 무시됩니다.

모든 조건이 채워질 때 룰이 매치 합니다. 조건이 없는 룰은 항상 채워집니다. 예를 들면, 마지막 엔트리는 말 deny 만되고 있을지도 모릅니다.

조건

hostname wzv.win.tue.nl
    wzv.win.tue.nl 그렇다고 하는 호스트로부터 로그인했을 때 실로 됩니다. 경고 시에를 참조해 주세요.

internet 131.155. 210.0 255.255. 255.0
    131.155. 210 의 네트워크로부터 로그인하면(자) 실로 됩니다. 네트워크 주소와 넷 마스크는 다음의 서식이 됩니다.

        internet net mask

    mask (와)과의 비트마다의 논리적이 net (와)과 동일해지는 인터넷 주소를 호스트가 가지는 경우, 식은 실로 됩니다. 경고 시에를 참조해 주세요.

port ttya
    로그인하고 있는 단말이 /dev/ttya (이)라면 실로 됩니다. UNIX 패스워드는 시스템 콘솔로부터의 로그인에는 항상 용서되고 있는 점은 기억해 둬 주세요.

user uucp
    uucp 유저가 로그인하려고 했을 때 실로 됩니다.

group wheel
    wheel 그룹으로서 로그인하려고 했을 때 실로 됩니다.

호환성
과거의 호환성을 위해서(때문에), internet 그렇다고 하는 키워드는 네트워크 주소와 마스크의 패턴으로부터 생략 가능합니다.

경고
S/Key 제어 테이블 (/etc/skey.access) 하지만 존재하는 경우, S/Key 패스워드를 가지지 않는 유저는, UNIX 패스워드의 사용이 용서되는 곳(중)으로부터 마셔 로그인이 용서됩니다. 특히 login(1) 하지만 의사 tty (예를 들면 xterm(1) (이)나 screen(1) 의 안) (으)로부터 기동되는 경우, 콘솔로부터의 로그인도 아니면 네트워크로부터의 로그인도 아니면 다루어지기 때문에, S/Key 패스워드의 사용이 의무 지워집니다. 이러한 상황으로 기동된다 login(1) (은)는, S/Key 패스워드를 가지지 않는 유저에 대해서는 반드시 실패합니다.

몇개의 룰형은, 네트워크를 통해서 주어지는 호스트명이나 주소 정보에 의존하고 있습니다. 이것으로부터 생각되는, 시스템에 UNIX 패스워드를 허락하게 하는 공격의 일람을 나타냅니다.

  호스트 주소 위조 (소스 루팅)
침입자는 자신의 인터페이스가 신뢰되고 있는 네트워크내의 주소 (으)로서 구성해, 그 소스 주소를 사용해, 피해자에게 접속합니다. 잘못한 클라이언트 주소가 주어지면(자), 호스트 주소에 근거하는 룰 혹은 주소로부터 이끌리는 호스트명에 근거하는 룰을 바탕으로 해, 피해자는 잘못한 결론을 이끕니다.

대처법:

1.  네트워크로부터의 UNIX 패스워드를 이용한 로그인을 허락하지 않는다.

2.  소스 루팅 정보를 버리는 네트워크 소프트웨어를 사용한다 (예를 들면, tcp wrapper).

대부분의 네트워크 서버는 클라이언트의 네트워크 주소로부터 클라이언트의 이름을 해결합니다. 그러므로, 다음의 분명한 공격은 이하와 같이 됩니다.

  호스트명 위조 (나쁜 PTR 레코드)
잘못한 호스트명이 주어지면(자), 호스트명에 근거하는 룰 혹은 호스트명으로부터 이끌리는 주소에 근거하는 룰을 바탕으로 해, 피해자는 잘못한 결론을 이끕니다.

대처법:

1.  네트워크로부터의 UNIX 패스워드를 이용한 로그인을 허락하지 않는다.

2.  호스트명으로부터 클라이언트의 네트워크 주소를 해결할 수 있는 것을 확인한다 네트워크 소프트웨어를 사용한다 (예를 들면, tcp wrapper).

UNIX 의 login(1) 프로그램과 같이, 클라이언트의 호스트명으로부터 클라이언트의 네트워크 주소를 요구할 필요가 있는 어플리케이션이 존재합니다. 지금 말한 공격에 가세해, 이제(벌써) 1 개의 가능성이 있습니다.

  호스트 주소의 위조 (여분의 A 레코드)
침입자는 클라이언트의 호스트명에 대해 (도 또한), 신뢰된 주소로서 해결시키기 위해서(때문에) 네임서버 시스템을 조작합니다.

대처법:

1.  네트워크로부터의 UNIX 패스워드를 이용한 로그인을 허락하지 않는다.

2.  skeyaccess() (은)는 다른 사람이 속하는 네트워크 주소를 무시한다.

진단
구문 에러는 syslogd(8) 에 보고됩니다. 에러가 발견되면 그 룰은 스킵 됩니다.

관련 파일

/etc/skey.access
    패스워드 제어 테이블

저자
Wietse Venema, Eindhoven University of Technology, The Netherlands