選択肢となる手法です。実装をパッケージに含めることによって、容易にその存在を確保できるからです。特別な事例において、AHとESPの両方を実装することが必須です。それゆえ、「IPv6専用プロトコルまたはIPv6専用実装では、AH/ESPはすでに利用可能である」と想定することは合理的です。良い選択肢であるときのガイダンスの一端を提供します。コネクションのためにチャネルセキュリティを提供します。実装は、プログラミングを容易にするために、典型的にはバークレーのソケットのようなインターフェィスを提供します。使って防護されたコネクションと、そうでないものを区別することです。対して上方に交渉するためのメカニズムをもつアプローチです。使うことを望むとき、攻撃者が平文によるコネクションを強いることができない」ように注意を払わなければなりません。ような信頼できるプロトコルに依存すること」を銘記してください。つの注目すべき困難をもたらします。使うデータグラムプロトコルをセキュアにするためには使えません。層の攻撃の影響を受けます。典型的には、これらの攻撃は、何らかのサービス妨害またはコネクション切断の形態をとります。偽装する可能性があります。「切断攻撃」を検知するメカニズムをもっていますが、これらは、被害者に攻撃されていることを単に知らせるだけで、このような攻撃に直面したとき、コネクション存続性を提供しません。コネクションに影響を与えずに棄却できます。選好される選択肢です。いかなるアプリケーション層トラフィックが送られる前に交渉されます。ようなバーチャルホストを使うプロトコルについて問題を起こす可能性があります。ハンドシェイクにおいて、どの証明書をクライアントに提供するか」を知らないからです。この問題を解決するのに使うことができます。利用における困難のひとつは、「サーバーは証明書で認証されること」です。ような)何らかのチャレンジレスポンスメカニズムを通じて認証します。組み合わせは、期待するほど強くはありません。積極的な攻撃者が、このコネクションをハイジャックすることは容易です。コネクションの中間者となります。認証しているのではないことを思い出してください。ハンドシェイクをプロキシします。平文であるかのようになります。この攻撃を予防するために、クライアントは、サーバーの証明書を検証する必要があります。サーバーが認証された場合、チャレンジレスポンスは、さほど望まれなくなります。あなたが既に強化されたチャネルをもっている場合、単純なパスワードが良いといえます。事実、それらは、チャレンジレスポンスより優れていることを論証できます。それらは、「パスワードがサーバー上において平文で蓄積されること」を要求しないからです。それゆえ、チャレンジレスポンスシステムを伴う鍵が侵されることは、単純なパスワードが使われた場合よりも深刻です。基づくクライアント認証が使えること」を覚えておいてください。クライアントは、サーバーに「私の身元については外部チャネルを調べて下さい」と伝えることができます。明らかに、これは、上記の階層化(layering)による攻撃の対象ではありません。提供する価値がある可能性があります。そのような事例のひとつは、リモート端末セキュリティです。キャラクタずつ送られます。データ拡大を意味する可能性があります。この拡大を予防します。リモート端末サービスを利用するとき、しばしば、「他種の通信サービスをセキュアに行うこと」が望まれます。ポートについてセキュアなポートフォワーディングを提供します。チャネル上で動作させることを許容します。ポートフォワーディングは、セキュリティ論点である可能性があること」を覚えておいてください。Englishサービス妨害攻撃は、日常避け難い現実と見なされています。問題のひとつは、「攻撃者は、しばしば被害者を迷惑させるために多くのサービス妨害攻撃から選択できること」であり、これらの攻撃の大部分が阻止できないので、普通の有識者は、しばしば、「可能性はあっても予防できない多くの他のサービス妨害攻撃があるとき、サービス妨害攻撃のうちの一種を防護する点はない」と想定します。サービス妨害攻撃のすべてが同等であったり、より重要であるわけではありません。非現実的でない場合、サービス妨害攻撃がより困難になるようにプロトコルを設計することが可能です。両方の属性を実証しています。あるので、攻撃者にとって他の攻撃よりも魅力的です。設計が、この攻撃を可能にしています。対するセキュリティは、実用主義的に扱われなければなりません。防護することが望まれる攻撃には、効率的に防護することができないものがあります。目的は、防護する費用に対して十分に高い深刻さがある攻撃に対して防護することによってリスクを管理するものである必要があります。防護しなければならない攻撃も変化します。インターネット標準の著者は、そのプロトコルが影響を受けるサービス妨害攻撃について記述しなければなりません(MUST)。この記述は、このようなサービス妨害攻撃を避ける試みが、非合理的である旨か、範囲外であるかのいずれかの理由を含まなければなりません(MUST)。Englishブラインドサービス妨害攻撃は、特に有害です。ブラインド攻撃において、攻撃者は顕著な優位性をもちます。アドレス使うかのいずれかをしなければなりません。両者は、被害者に攻撃者を追跡し、かつ/または、攻撃者のトラフィックを棄却する機会を提供します。アドレスを使うことができ、被害者が攻撃者のパケットをフィルタリングすることを極めて困難にしています。フラッド攻撃は、ブラインド攻撃の一例です。設計者は、ブラインドサービス妨害攻撃を予防するためにあらゆる可能な試みを行う必要があります。おいて、攻撃者は、標的マシンを同時に攻撃するように、数多くのマシンを準備します。通常、これは、数多くのマシンに攻撃のリモートによる開始ができるプログラムをしかけることによって達成されます。別の場所にいる善意の第三者によって保持されている可能性が高いものです。攻撃は、対抗するのが極めて困難である可能性があります。プロトコル要求を行って、単に本当のユーザを混雑によって押し出しているように見えるからです。攻撃は阻止するのが困難ですが、プロトコル設計者は、プロトコルを設計する際に、この種の攻撃を認識していることが期待されます。Englishサービス妨害攻撃をより困難にする卑近なアプローチがふたつあります。Englishあなたよりも少ない資源しかもたない攻撃者が攻撃をしかけるとき、あなたよりも多くの資源を消費する場合では、攻撃者は効果的な攻撃をしかけることができません。あるテクニックのひとつは、攻撃者に暗号技術的操作のような時間がかかる操作を要求することです。処理能力を集結できる場合、サービス妨害攻撃をしかけ続けることができること」を銘記してください。記述されている分散型の攻撃をくい止めません。Englishブラインド攻撃は、攻撃者に「被害者からのデータを受信できること」を証明することを強いることによって打ち破ることができます。この対策が行われた場合、攻撃者は、(追跡を容易にする)自身のアドレスを使うか、攻撃を開始したホストまでの経路をたどれてしまうアドレス偽造を使用しなければなりません。それゆえ、(少なくとも詐称攻撃においては)小さなサブネット上のホストは、攻撃者にとって無用です。この攻撃は、攻撃対抗手段を配備できるようにサブネットにトレースバックできるからです。(これは、攻撃者の位置を知るのに十分です。)(例えば、境界ルーターは、そのサブネットからのトラフィックすべてを棄却するように設定できます。)よくあるテクニックのひとつは、「攻撃者がメッセージ交換の初期に得られたはずの情報を使って返信すること」を要求することです。フラッド攻撃に対して脆弱です。攻撃者は、ひとつのパケットを送ることによって、被害者に膨大な資源(この場合はメモリ)を浪費させることができます。次に、攻撃者は、この行為を被害者から全くデータを受け取らずに行うことができるので、攻撃は、匿名で行うことができます。膨大な数の偽装された発信元アドレスを使います。フラッド攻撃に似ている攻撃を予防するものであり、詰まり対策メカニズムを仕様としています。攻撃者に返される「クッキー」を生成するために、時間が可変の秘密を採用しています。このクッキーは、処理を進めるための交換のために、以降のメッセージにおいて返されなければなりません。興味深い機能は、「このクッキーは、後で交換において被害者によって再生成でき、それゆえ、攻撃者が被害者からのパケットを受信できることが証明されるまでは、被害者は状態を保持する必要はありません。Englishオブジェクトセキュリティとチャネルセキュリティを概念的に区別することが有用です。オブジェクトセキュリティは、データオブジェクト全体に適用されるセキュリティ手段をいいます。チャネルセキュリティ手段は、オブジェクトを透過的に運ぶことができるセキュアチャネルを提供しますが、そのチャネルは、オブジェクト境界について特別な知識をもちません。電子メールメッセージの事例を考えます。よってセキュアにされたコネクション上を運ばれるとき、そのメッセージは、転送中は防護されています。これは、受信者のメールボックス中や、途中の中間スプールファイルでは防護されていません。ユーザ認証ではなく、単にデーモン認証を意味するに過ぎません。ホップ」なので、たとえユーザが中継の最初のホップを認証する場合でも、認証は、受信者によって安全に検証されることができません。防護されているとき、受信者によって検証・復号されるまで、メッセージ全体が暗号化され、インテグリティが確保されます。送ったマシンではなく、実際の送信者についての強い認証も提供します。これはオブジェクトセキュリティです。受信者は、署名されたメッセージの真正性を第三者に提供できます。「オブジェクトセキュリティとチャネルセキュリティの相違は視点の問題であること」を銘記してください。プロトコルスタックのある層におけるオブジェクトセキュリティは、しばしば、直上の層からはチャネルセキュリティのように見えます。層から見れば、各パケットは、個々にセキュアにされたオブジェクトのように見えます。セキュアなチャネルを提供します。区別は、いつも明確であるとは限りません。トランザクション(基本ページと数多くのインラインのイメージ)から成ります。ページ全体の観点からは、これは、むしろ、チャネルセキュリティのように見えます。ページ用のオブジェクトセキュリティは、ページ毎の非開示のためのセキュリティと、単一ユニットとして組み込まれているすべてのコンテンツから成ります。Englishネットワークをファイアウォールを使って外部ネットワークと内部ネットワークに区切ることは、現代のネットワークにおいて、よくあるセキュリティの実践です。内部ネットワークは、セキュアであり、限られたセキュリティ手段のみが使われていると想定されています。このようなネットワークの内部部分は、しばしば「壁内の庭園」と呼ばれます。つの理由によって、「彼らのプロトコルがこのような環境に配備される」と安全に想定することはできません。当初、閉じた環境中で採用されるように設計されたプロトコルは、しばしば、後でインターネット上に採用されるようになり、それゆえ、深刻な脆弱性を作り出します。次に、トポロジー的に接続されていないように見えるネットワークは、接続されている可能性があります。その理由のひとつは、「ネットワークが外界からのアクセスを許可するように再設定された」可能性があります。ような一般的なアプリケーション層プロトコルを通過するようになってきています。これらの一般的なプロトコルに基づいたネットワークプロトコルは、一般に、「ファイアウォールがそれらを防いでくれる」と想定できません。最後に、システムに対する最も深刻なセキュリティ上の脅威は内部者からであり、外部者からではありません。内部者は、定義からして内部ネットワークにアクセスできるので、ファイアウォールのようなトポロジーによる防護では、それらを防いでくれません。English「あらゆるプロトコルもしくはシステムが、すべての形態の攻撃に対して耐性があること」は、要件ではありませんが、著者が可能な限り多くの形態を考慮することは必要不可欠です。「セキュリティについての考慮事項」の章の目的の一部は、「どのような攻撃が範囲外であるか」、「それらを防ぐためにどのような対策が適用可能か」を説明することにあります。記述されているプロトコルまたは技術についての脅威の種類の明確な記述が在る必要があります。diligence)」を払う努力としてアプローチされる必要があります。著者は、次のことを記述しなければなりません(MUST)。そのプロトコルが何を護るのか少なくとも、下記の形態の攻撃が考慮されなければなりません(MUST)。(盗聴、リプレイ、メッセージ挿入・削除・変更および中間者によるもの。)潜在的なサービス妨害攻撃も識別されなければなりません(MUST)。影響を受ける種類の攻撃について、いくつかの例示も提供される必要があります。秘密に保たれる必要があるデータ(鍵とする素材、乱数生成の種等)は、明確にラベル付けされる必要があります。技術が認証(特にユーザ/ホスト認証)を含む場合、認証手段のセキュリティは、明確に仕様としなければなりません(MUST)。著者は、この認証手法のセキュリティが前提としている仮定を文書化しなければなりません(MUST)。ユーザ名/パスワードによるログイン手法の場合、以下の影響について表明します。パスワードを推測/入手することが困難である」という程度のセキュリティです。プログラムを動作させることによって入手できます。オンラインによるパスワード推測を防ぐ試みは、以下のやり方によります。何回かログインに失敗したら切断する。連続するパスワードプロンプト間の待機は、攻撃者は我慢強くないという程度にのみ有効である。グループ等に対応させるので、誰もが読める必要があります。「シャドー」パスワードファイルに分離されます。シャドーファイルは、誰もが読めるものではなく、暗号化されたパスワードを含みません。ファイルは、ここにダミーのパスワードを含んでいます。「プロトコルは、何らかの下位層のセキュリティプロトコル上で動作する必要がある」と述べるだけでは不十分です。システムがセキュリティについて下位層のセキュリティサービスに依存している場合、それらのサービスが提供することを期待されている防護は、仕様とされなければなりません(MUST)。組み合わされたシステムの結果としての属性が仕様とされる必要があります。プロトコル内部のものであれ、下位層のセキュリティプロトコルとの密な結合であれ、強い認証を提供しないスタンダードトラックプロトコルを承認しません。ファイアウォールがあることを想定せずに、複数の運用管理上の境界をまたぐグローバルなインターネットにおける配備を想定しなければなりません(MUST)。おいて想定可能な脅威のみを検討し、より広範な脅威環境を無視すること」は許容できません。スタンダードトラックに乗っているプロトコルは、グローバルなインターネットにおけて採用される可能性が高いと考えられています。ある可能性があります。それにもかかわらず、より広範な採用のセキュリティ論点が、その文書において検討される必要があります。脅威の緩和策が採用された後の当該プロトコルのユーザもしくはオペレータに対する残存リスクの明確な記述がある必要があります。基盤となっているリンクプロトコル上のサービス妨害攻撃)。単一のシステムの侵害がプロトコル全体を侵害する状況において、特別な注意が払われる必要があります。一般に、プロトコル設計者は、「エンドシステムは侵害されておらず物理的攻撃について心配しない」と想定します。(認証局のように)単一システムの侵害が広域な侵害もたらす可能性がある場合、システムセキュリティと物理的セキュリティを同様に考慮するのが適切です。記述された技術についての潜在的に誤った応用に起因する潜在的なセキュリティリスクについても、何らかの検討が必要です。ついての適用可能性の表明と組み合わされる可能性があります。English本章は、いくつかの「セキュリティについての考慮事項」の章の例示から成り、読者に本書が意図する雰囲気を提供することを意図しています。適用した「回顧的」な例です。番目の例は、現行プロトコルから抽出した良い「セキュリティについての考慮事項」の章です。おいて要求されていませんでしたし、その文書には何も含まれていません。更新し、詳細な「セキュリティについての考慮事項」の章を追加しました。我々は、ここに、その文書の「セキュリティについての考慮事項」の章を(新しい節番号で)再編集します。我々のコメントは、インデントされ、前に「注意:(Note:)」を付してあります。我々は、重要と考える論点をカバーするために、数多くの新しい節を追記します。サーバーと直接交渉し、単純な受信者を「それらはどこか別のところから来た」と信じるように騙すメッセージを作成することができます。「詐称された」行為が達人によっても検知できないようにするために、このようなメッセージを作成することは、より困難ですが、意思と知識をもつ者を阻止するのに十分ではありません。メールは、仕様上、トランスポート層において認証されたり、インテグリティチェックが提供されたりすることができないという知識もつきます。エンド」な手法においてのみ実現します。