5.サーバ: April 2007アーカイブ

メール受信(POP3)に使用するプロトコルはPOPが一般的であるが、オプションである暗号化パスワードを使用できるAPOP認証に脆弱性が見つかった。

情報処理推進機構セキュリティセンター(IPA)
「APOP（エーポップ）方式におけるセキュリティ上の弱点（脆弱性）の注意喚起について」

そもそも平文で認証を行うPOPを利用しているユーザはほとんどいないはず...であるがこれで、いま現在一般的に行われているAPOP認証も使えないものとなってしまった。
APOPパスワード漏洩によるさらなる重大な問題は、メールの不正送信をされる危険があることだ。

単純にAPOPパスワードが漏洩するだけでは、メールサーバに保存されている受信メールの読み出しが行えることと、サーバ上のメール消去が自由にできるようになるだけである。
ここで注意が必要なのは、一般的なメール送信の認証方法はAPOP認証に通過したネットワークからを無条件で許可する、という仕組みである。

・メールの受信プロトコルがPOP/APOP
・メールの送信認証がPOP before SMTP
・SMTPサーバとPOPサーバが同じ

という環境である場合、漏洩したアカウントで自由にメールを送ることが可能になる。
SMTP認証でSMTP-AUTHが提供されている場合にはこの限りではないが、今回のAPOP問題の根本原因はMD5ハッシュのコリジョンであるから、この先も安全が保証されるわけではない。

そこで、解決方法のひとつである「POP over SSL」である。

「POP over SSL」を利用することによって、メールの読み出しクライアントとPOPサーバとの間の通信はSSLにより暗号化される。アカウントのみならずPOPサーバから読み出し中のメール本文そのものも完全に隠蔽できるわけだ(※メールサーバ間の通信は平文なので注意)。

ZDNetの記事によると、NTTデータが PostgreSQL で ISO/IEC15408 認証を取得したそうだ。

『NTTデータは4月11日、オープンソース（OSS）のDBMS「PostgreSQL」と、その運用モデルでISO/IEC15408に基づくITセキュリティ認証を取得したと発表した。OSSのDBMSでITセキュリティ認証を取得したのは世界初という。

ISO/IEC15408は、情報技術に関連した製品やシステムが適切に設計され、正しく実装されているかどうかを評価するセキュリティ評価の国際標準規格。独立行政法人情報処理推進機構（IPA）が国内で制度を運営している。

認定取得にあたりNTTデータでは、PostgreSQLのセキュリティ関連機能を強化するとともに、セキュアな運用ガイドラインを規定。2006年9月に申請を行い、今回の取得に至った。

なお、認証を取得したPostgreSQLは、PostgreSQL 8.1をベースに、パスワード認証、監査ログ表示・閲覧機能などを強化してセキュリティ評価基準に適合するよう構成されている。』

ダウンロードは
http://www.nttdata.co.jp/services/postgreSQL/
から。

MD5 チェックサムは

a6037990f222f3f4bb909ebfa9d9d552 postgresql-8.1.5-ISO15408_Linux.i386.rpm

最近、オープンソース RDBMS の信頼性向上がめざましい。
ちなみに、かの「mixi」も mod_perl + MySQL 構成だそうですね。