Microsoft Word - 7

Transcription

1 Web を 支 える 情 報 通 信 技 術 (7) 大 事 なコンテンツを 守 るには 2007 年 6 月 4 日 情 報 基 盤 センター 佐 藤 周 行 中 山 雅 哉 西 村 健 1. 会 員 限 定 のコンテンツ コンテンツを 作 成 したら Web サーバを 使 って 公 開 することができる Web サーバの 挙 動 については 何 回 かを 使 って 説 明 してきた Web サーバは われわれからの telnet を 使 ったリクエストに 律 儀 に 答 えを 返 すところを 観 察 した そのときに サーバは 無 反 省 にだれにでも 答 えをかえしたことを 思 い 出 して ほしい(ある 意 味 戦 慄 的 である!) Web で 公 開 する 内 容 (コンテンツという)は 特 に 何 もしなければ 世 界 中 のどこの 誰 でも 手 に 入 れることができるのである この 特 徴 は 大 学 でも 企 業 でも 広 報 とよば れる 情 報 発 信 のタイプに 非 常 にマッチするものである 一 方 何 らかの 理 由 で 会 員 限 定 の コンテンツをおかなければならない 場 合 誰 がサーバにアクセスするかについて 気 を 配 らなければならない この 理 由 には 組 織 の 秘 密 に 属 するものもあるし 限 定 することで 経 済 的 価 値 を 高 める 性 質 のものもある サーバが 提 供 するサービスを 人 や 機 械 に 対 して 選 択 的 に 提 供 することはよくあること である この 機 構 を 一 般 にアクセス 制 御 という アクセス 制 御 という 概 念 は このゼミナ ールの 後 半 で 扱 う セキュリティ の 主 要 なテーマのひとつである ところで サーバが 誰 かからリクエストを 受 けたときに どのような 情 報 をそのリクエ ストから 入 手 できるかは アクセス 制 御 の 基 本 である Q. 前 回 だされた 課 題 を 思 い 出 し サーバがどのような 情 報 をリクエストから 入 手 できる かを 想 像 せよ また どのような 情 報 なら 入 手 できないかを 想 像 せよ Q. サーバが 入 手 できる 情 報 について それがどこに 記 述 されているか 想 像 せよ 以 上 は とりあえず 想 像 だけでかまわない ただし 科 学 では 最 終 的 に 想 像 を 実 証 するプロセスが 求 められる

2 2.アクセス 制 御 この 場 合 のアクセス 制 御 とは 人 間 や 機 器 に 対 して ページにアクセス( 読 み 書 き)す るかどうかを 許 したり 拒 否 したりすることになる ここで 人 間 や 機 器 に 対 して とい う 言 葉 に 注 意 してほしい 実 際 には サーバへは あるページに 対 するアクセス の リ クエスト が 飛 んでくる サーバは このリクエストから それを 出 した 人 間 や 機 器 の 情 報 を 取 り 出 さなければならない 一 般 に 人 間 や 機 器 の 情 報 を 取 り 出 し 本 当 であることを 確 認 することを 認 証 という 以 下 認 証 がどのように 行 われるかをみてみよう 2.1 機 器 の 認 証 リクエストを 出 す 機 器 はどうしたら 認 証 できるだろうか? Q. 機 器 として 思 いつくものをあげてみよ Q. 前 回 の 課 題 を 思 い 出 そう 目 の 前 にある Mac の 情 報 の 何 が kiku.itc.u-tokyo.ac.jp から 返 されてきただろうか 大 学 が 運 用 しているサーバの 中 には 学 内 限 定 と 称 しているものがいくつかある こ れは リクエストを 出 した 機 器 の IP アドレスを 認 証 して それが 学 内 の 機 器 であることが 確 認 できたら それに 対 して 応 答 しているのである Q. IP アドレスがわかったとして それが 東 大 のものであるかどうかがなぜわかるのだろ うか? Q. この 認 証 に ドメイン 名 を 使 うにはどうしたら 良 いだろうか? 4 回 目 でやった DNS また 必 要 ならばコマンド dig (-x)を 使 って 工 夫 してみよ Apache では 自 分 のページに 対 して 機 器 を 認 証 してその 結 果 でアクセス 制 御 をかけるこ とができる 演 習 : やりかたには 2 種 類 ある httpd.conf で 設 定 する 方 法 と フォルダごとに.htaccess( 最 初 の. (ドット)をみのがさないこと)で 設 定 するやり 方 である ここでは 後 者 のみを 説 明 する 1. 最 初 にフォルダを 一 つ 作 れ( 名 前 は 任 意 でよい) 2. そのフォルダの 中 に 以 下 の 内 容 でファイル.htaccess を 作 成 せよ

3 order deny, allow deny from ( 自 分 の 端 末 の IP アドレス) 3. アクセスしてみよ アクセスが 拒 否 されたことを 確 認 せよ 4. 次 の 内 容 に 置 き 換 えよ 他 人 のサーバにアクセスを 試 みよ order deny, allow deny from all allow from ( 自 分 の 端 末 の IP アドレス) ここで 重 要 なのは アクセス 制 御 のやりかたそのものではない Apache には 機 器 の IP アドレスがわたってきて それを 認 証 する 仕 組 みが 提 供 されているということである ところで 前 回 の 課 題 のときに 自 分 の 端 末 の IP アドレスと kiku から 返 された IP ア ドレスが 異 なっていることに 気 づいただろうか Q ではじまる IP アドレスを 持 つ 機 器 には 一 般 にアクセスできない(ただし 例 外 はある) その 根 拠 を RFC の 中 から 探 し 出 せ(ヒント:special user IPv4) 2.2 人 の 認 証 機 器 の 認 証 は ネットワークの 構 成 に 密 接 に 関 係 することがわかった しかし 機 器 の 認 証 だけでよいのだろうか? 月 曜 日 の 5 限 だけ 使 える 端 末 だということは 他 の 時 間 なら 他 の 人 もその 端 末 を 使 う 可 能 性 があるということである その 端 末 を 使 っている 人 そのも のの 認 証 が 重 要 になることはよくある 計 算 機 の 世 界 では この 認 証 に 伝 統 的 に ID とパスワードによる 認 証 を 使 ってきた(もは や 説 明 は 不 要 だろう) これは あんた 誰? とサーバが 聞 くと 私 は ID と 答 え それ に 対 して じゃ 証 拠 を 見 せてよ と 再 度 聞 かれたときに 自 分 しか 知 らないはずのパスワ ードを 答 えてその 証 拠 とするやりかたである ここで 重 要 なのは ID とパスワードのペア を 作 り 出 して 記 憶 しておくことである 演 習 : 1. 使 ってアク セスしてみよ 2. 同 じ 場 所 に telnet でアクセスしてみよ 3.2つの 違 いから ブラウザが 返 ってきた 答 えに 対 して 何 をしようとしたのかを 想 像 せ よ では 自 分 で ID とパスワードのペアを 作 り 出 してみよう

4 1.ターミナルプログラムを 立 ち 上 げて 以 下 のコマンドを 実 行 せよ % htpasswd c.htpasswd ( 自 分 の 名 前 ) 2. 先 ほど( 機 器 認 証 を 要 求 するように) 作 成 したフォルダの.htaccess を 次 のように 書 き 換 えよ AuthType Basic AuthName Web Seminar AuthUserFile /home01/uschuko/.htpasswd ( 自 分 のホームの 位 置 に 合 わせて 適 宜 書 き 換 えよ) require valid-user 3. 再 度 アクセスしてみよ 今 度 はどうなるか 実 は Web サーバと ブラウザの 間 には 以 下 のようなやりとりが 行 われている 1.ブラウザは 普 通 に GET リクエストを 出 す ( 確 認 せよ) 2.サーバは Unauthorized であるエラーコードを 返 す ( 確 認 せよ) 3.ブラウザは ID とパスワードを 用 意 して 再 び Get リクエストを 出 す GET ページのパス HTTP/1.0 Authorization: BASIC bwl0zw1vomrhbwvkyxlvcg== 4.サーバは ( 認 証 に 成 功 したら)コンテンツを 返 す たぶん また 拒 否 されるだろう (これも 確 認 せよ ) 上 の Authorization: BASIC に 続 く 呪 文 のような 文 字 列 が ID とパスワードをコロンをは さんで 並 べたものである これを 生 成 するには 以 下 のようにする % echo ID:password nkf MB Q. BASE64 とよばれる 方 式 について 調 べてみよ 2.3 弱 点 ここまでで 一 段 落 したが これで 本 当 に 大 丈 夫 だろうか?たとえば 機 器 の 認 証 にお

5 いて 自 分 が 本 来 持 っているアドレスと 異 なるアドレスがサーバに 渡 るのは 珍 しいことで はない これに 対 処 するには ドメイン 名 で 機 器 を 特 定 できるようにするとよいかもしれ ない また ここまでの 一 連 のやり 取 りは すべて telnet を 使 ってできるものであったことに 注 意 すべきである telnet を 使 った 通 信 はそのままネットワーク 上 を 流 れる 誰 かが 途 中 で 自 分 とサーバのやりとりをのぞいているかもしれない(ただし ちゃんとした 組 織 ならば 誰 でもこれができるわけではない) のぞかれると ID もパスワードも 知 られてしまい 誰 か 悪 者 が 勝 手 にコンテンツをみるかもしれない これに 対 処 するには 通 信 の 一 部 または 全 部 を 暗 号 化 することが 考 えられるだろう 3.おわりに 今 回 は Web サーバのアクセス 制 御 の 話 をした アクセス 制 御 に 本 質 的 な 機 器 の 認 証 と 人 間 の 認 証 の 話 もしたが それぞれ 対 処 の 仕 方 は 完 全 ではない 次 回 以 降 現 状 での 認 証 技 術 として 安 全 性 の 面 からも 満 足 できる 方 法 を 探 っていこう SSL がキーワードになる