第12章 機密保護上の注意事項

12.2.1 初期パスワード

AUTHORIZE ユーティリティを使用して新規ユーザ用のアカウントを作成する場合は， ユーザにユーザ名と初期パスワードを割り当てる必要があります。 一時的に初期パスワードを割り当てる場合は， 12.2.5 項 「パスワード保護に関するガイドライン」 で推奨しているすべてのガイドラインに従ってください。 その意味で，パスワードの割り当てにあたっては自動パスワード・ジェネレータを利用することをお勧めします。 分かりやすいパターンでパスワードを割り当てないことが大切です。

自動パスワード・ジェネレータの利用

AUTHORIZE ユーティリティを使用して，アカウントを作成するときに自動パスワード・ジェネレータを使用するためには，ADD または COPY コマンドのいずれかに /GENERATE_PASSWORD 修飾子を指定する必要があります。 この修飾子が指定されると，システムが自動生成したパスワードの一覧を表示するので，その中から適当なパスワードを選択し，アカウントの設定作業を継続します。

システム・パスワード辞書とパスワード履歴リストの利用

OpenVMS オペレーティング・システムは， 新しいパスワードとシステム・パスワード辞書の内容を自動的に比較し， パスワードがネイティブ言語以外の単語であるか調べます。 またシステムは，一人のユーザについて最新の 60 個のパスワードを記録したパスワード履歴リストを管理しています。 新しいパスワードが割り当てられると，パスワード履歴リストの内容と比較して， 古いパスワードが再利用されていないか調べます。

システム・パスワード辞書は， SYS$LIBRARY に格納されています。 システム・パスワード辞書は， AUTHORIZE で /FLAGS 修飾子に DISPWDDIC か NODISPWDDIC オプションを指定することによって，検索を有効または無効にすることができます。 パスワード履歴リストは SYS$SYSTEM に格納されています。 履歴リストは，/FLAGS 修飾子に DISPWDHIS か NODISPWDHIS オプションを指定することによって，検索を有効または無効にすることができます。

システム・パスワード辞書への登録手順

システム・パスワード辞書は，サイトごとに変更することが可能です。 ここでは，システム・パスワード辞書に対する単語の登録または削除を行う手順を紹介します。 この手順はまた，使用を避けたいパスワードのファイルを残す目的にも使用することができます。

期限切れパスワードの定義

パスワードを期限切れと定義することができます。 この定義は，UAF に新規ユーザを登録するときに，AUTHORIZE の /PWDEXPIRED 修飾子を使用して行います。 この定義がなされている場合，ユーザは初めてログインしたとき初期パスワードを変更する必要があります。

期限切れパスワードは，UAF レコード・リストにおいて期限切れである旨がはっきりと示されます。 最新のパスワード変更日のエントリに，次の注記が付きます。

省略時の設定では OpenVMS オペレーティング・システムは，新規ユーザの初めてのログインでパスワードの変更を強制します。 システムの機密保護を実現し促進するためには，サイトでトレーニング・プログラムを作成し，パスワードの頻繁な変更やその他の処置についてユーザ教育を行うことをお勧めします。

12.2.2 システム・パスワード

システム・パスワードは， 権限なしのターミナルへのアクセスを制御するために使用します。 このようなターミナルを以下に示します。

システム・パスワードの実現は，DCL の SET TERMINAL と SET PASSWORD コマンドを使用し，2 段階に分けて行います。 最初に行うべきことは，システム・パスワードを必要とするターミナルの特定です。 そして次に，特定したターミナルの 1 台 1 台に，DCL の SET TERMINAL/SYSPASSWORD/PERMANENT コマンドを入力します。 すべてのターミナルに対して，システム・パスワードを有効にするには， システム・パラメータ TTY$DEFCHAR2 で適切なビットを設定します。

12.2.3 第 1 パスワードと第 2 パスワード

二重パスワードというのは手間がかかりますが，高度な機密保護が求められるサイトでは重要なことです。 第 2 パスワードの有効性は，それを提供するスーパバイザの信頼性に完全に依存しています。 スーパバイザは簡単にパスワードを漏らしたり， さらに悪い場合は空文字列にすることができます。

第 2 パスワードの最大の利点は，DECnet for OpenVMS を介して簡単にアカウントにアクセスされるのを防止できる点です。

別の利点は，パスワードを変更した後で不審な侵入があり， 強制的にパスワード・ジェネレータを使用するような場合に， 検出ツールとして使用できる点です。 問題のアカウントを選択し，そのアカウントを一時的に二重パスワードの対象にしてください。 第 2 パスワードを使って個人的な検査を行い，問題がなくなった場合は，個人的な問題があったことが分かります。 最も考えられるのは，権限を持つユーザがアカウントのパスワードを， 他のユーザに明かしてしまっているケースです。 第 2 パスワードの登録方法については， 『OpenVMS システム・セキュリティ・ガイド』で詳しく説明しています。

12.2.4 最低限のパスワード基準の実施

機密保護管理者は AUTHORIZE を使用し，個々のユーザに最低限のパスワード基準を課すことができます。 これは具体的には， AUTHORIZE が提供する修飾子とログイン・フラグを使用して， パスワードの最低の長さやパスワードの有効期限，期限切れ時のパスワード変更の強制の有無を制御するものです。

パスワードの有効期限

AUTHORIZE の /PWDLIFETIME 修飾子を使用して，パスワードの最大有効期限を設定することができます。 有効期限がくる前に， ユーザはパスワードを変更する必要があります。 変更しない場合は，パスワード変更の強制を受けるか， またはアカウントに対するアクセス権を失います。

パスワードの有効期限が設定されると，ユーザは定期的にパスワードの変更を求められます。 有効期限はユーザごとに変えることができます。 一般的に，重要なファイルに対するアクセス権を持つユーザには，最も短いパスワード有効期限を割り当てるべきです。

期限切れパスワードの変更の強制

ログイン時，省略時の設定ではユーザは，期限切れパスワードの変更を強制的に求められます。 すなわち，システムは，パスワードの期限が切れているユーザがログインすると，新しいパスワードを入力するよう求めます。 /PWDLIFETIME 修飾子を使用してパスワードの有効期限を変更しないかぎり，有効期限は省略時の設定で 90 日になります。

最低パスワード長

AUTHORIZE の /PWDMINIMUM 修飾子を使用して， パスワードの最少文字数を指定することができます。 パスワードの最大の長さは，この最低の長さの変更に関係なく 31 文字です。

パスワード・ジェネレータの使用

AUTHORIZE で /FLAGS=GENPWD 修飾子を指定することによって， パスワードを変更するときユーザが自動パスワード・ジェネレータを使用するよう強制することができます。 この修飾子を使ってすべてのアカウントを作成することもできれば，もっと選択肢を広げることもできます。

12.2.5 パスワード保護に関するガイドライン

パスワードを保護するにあたっては，次のガイドラインに従ってください。

次に挙げる処置は厳密にはパスワードの保護には関係ありませんが， パスワードが発見される可能性を減らし，パスワードが盗まれたり， バイパスされたりしたときの損害の広がりを抑えるのに役立ちます。

12.2.6 パスワードの履歴

パスワード履歴データベースは，各ユーザ・アカウントに対応する以前のパスワードの履歴を保持しています。 省略時の設定では，システムはこの記録を1 年間保持します。 システムのパスワード履歴の存在期間より古いパスワード履歴の記録は，有効なパスワード選択と見なされます。 ユーザ・アカウントが削除されると，システムは，対応するパスワード履歴の記録を履歴データベースから削除します。

12.4.1 利用者識別コード

利用者識別コードは，そのコードのユーザが属するシステム・グループと， そのグループ内でユーザを一意的に識別するコードです。

AUTHORIZE ユーティリティは， システムの各ユーザ・プロセスに一意の UIC を割り当て， それを利用者登録ファイル (UAF) に記録します。 こうした UIC はまた，システムのあらゆるオブジェクトにも割り当てられます (通常はオブジェクトの作成者の UIC)。

UIC は，次の形式でグループとメンバの 2 つの部分から構成されます。

UIC は数字だけ，または英数字の両方で構成します。 数値型の UIC のグループ番号は 8 進で 0 から 37776， メンバ番号は 8 進で 0 から 177776 の範囲です。 グループ 1 およびグループ 300 から 377 までは，弊社が予約しています。

12.4.2 保護コード

保護コードは，特定のユーザまたはグループについて許可を与えるかどうかのアクセスのタイプを制御します。 形式は次のとおりです。

ユーザ・カテゴリ

ユーザ・カテゴリは，システム (S)，所有者 (O)，グループ (G)， ワールド (W) のいずれかです。 各カテゴリは短縮して，対応する英字の先頭 1 文字で表すことができます。 それぞれのカテゴリの定義を次に示します。

複数のユーザ・カテゴリを指定する場合は， 各カテゴリをコンマで区切り，コード全体を括弧で囲みます。 ユーザ・カテゴリとアクセス・タイプは，任意の順序で指定できます。

アクセス・タイプにヌルを指定した場合はアクセス権なしを意味します。 そのため，ユーザ・カテゴリにアクセス・タイプを指定しなかった場合， そのカテゴリのユーザには，そのタイプのアクセス権が付与されません。 特定のユーザ・グループについてアクセス権を全く付与しない場合は， アクセス・タイプを何も指定せずにユーザ・カテゴリだけ指定します。 またこの場合，ユーザ・カテゴリの後のコロンを省略します。

保護コードにユーザ・カテゴリを指定しなかった場合は， そのカテゴリに現在付与されているアクセス権がそのまま適用されます。

アクセス・リスト

アクセスのタイプはオブジェクトによって決まります (『OpenVMS システム・セキュリティ・ガイド』を参照)。 ファイルに対するアクセス権には，読み込み (R)，書き込み (W)， 実行 (E)，削除 (D) があります。 各ユーザ・カテゴリと割り当てられたユーザ・カテゴリはコロン (:) で区切ります。

例

次の保護コードでは，システム・ユーザにオブジェクトに対するすべてのアクセス権，所有者に削除以外のすべてのアクセス権を付与していますが， グループとワールド・ユーザにはアクセス権を付与していません。

$ SET SECURITY/PROTECTION=(S:RWED,O:RWE,G,W) [JONES]MY_FILE.TXT

省略時の保護コードの変更方法

OpenVMS オペレーティング・システムは，各プロセスに省略時の UIC に基づく保護コードとして (S:RWED,O:RWED,G:RE,W) を割り当てます。 この省略時の保護コードを変更したい場合は， SET PROTECTION/DEFAULT コマンドを使用します。 次に例を参照してください。

$ SET PROTECTION=(S:RWED,O:RWED,G:RE,W:RE)/DEFAULT

12.6.1 ACL エントリの種類

アクセス制御リストは，オブジェクトの属性を定義する， ACE (アクセス制御エントリ) と呼ばれるエントリのリストです。

次の ACE が使用可能です。

ACE	説明
識別 ACE	ユーザの識別情報に基づいて，特定のユーザに許可するアクセスのタイプを制御する。 各識別 ACE は，少なくとも 1 つのライト識別情報と，その情報を保持するユーザに許されるアクセス・タイプのリストから構成される。 識別情報については，12.6.2 項 「識別子の種類」 を参照すること。 たとえば，次の ACE はユーザ "Jones" にオブジェクトに対する読み込み，書き込み，および実行のアクセス権を付与している。 (IDENTIFIER=[ACCOUNTING,JONES],ACCESS=READ+WRITE+EXECUTE)
省略時の保護 ACE	特定のディレクトリとそのサブディレクトリ内に作成されたすべてのファイルに割り当てる保護コードを指定することができる。 たとえば次の ACE では，ディレクトリに新たに作成されたファイルに対し，システムと所有者カテゴリのユーザにはすべてのアクセス権， グループ・ユーザには読み込みおよび実行のアクセス権を付与し， ワールド・カテゴリのユーザにはアクセス権を付与しない。 (DEFAULT_PROTECTION,S:RWED,O:RWED,G:RE,W:)
作成 ACE	作成 ACE を割り当てたディレクトリ内で作成されたファイルの ACL に新しい ACE を追加する。 作成 ACE は，ファイルを作成するプロセスの利用者識別コード (UIC) が，作成されるファイルを所有しない場合に適用される。 たとえば，ディレクトリが資源識別子によって所有されている場合には，この ACE が適用される。 次の例では，このディレクトリ内でファイルを作成したユーザに，そのファイルに対する読み込み，書き込み， 実行，削除アクセス権を付与するよう指定している。 (CREATOR,ACCESS=READ+WRITE+EXECUTE+DELETE) 作成 ACE が使用できるのは，ディレクトリ内のファイルのみ。
機密保護アラーム ACE	オブジェクトが特定の方法でアクセスされたとき，オペレータのターミナルに機密保護アラーム・メッセージを送るよう指示することができる。 たとえば，次の ACE では，特定のファイルが正しく読み取られると， 必ずアラーム・メッセージが出される。 (ALARM=SECURITY,ACCESS=SUCCESS+READ) 機密保護アラーム ACE が働くためには，次のコマンドで有効にしておくことが必要。 $ SET AUDIT/ALARM/ENABLE=(ACL)
機密保護監査 ACE	オブジェクトが特定の方法でアクセスされたとき， システム・セキュリティ監査ログ・ファイルに機密保護アラーム・メッセージを送るアクセス基準を指定する。 たとえば，次の ACE では，特定のファイルが正しく読み取られると， 必ずアラーム・メッセージが出される。 (AUDIT=SECURITY,ACCESS=SUCCESS+READ) メッセージが記録されるのは，DCL の SET AUDIT/AUDIT/ENABLE=ACL コマンドで，ACL 監査が有効になっている場合のみ。
サブシステム ACE	サブシステム ACE が適用されるイメージを実行しているプロセスに新しい識別子を追加する。 イメージに対して実行アクセス権を持つユーザは，データ・ファイルやプリンタなど保護されたサブシステム内のオブジェクトにアクセスできる。 しかし，サブシステム・イメージが実行されていない場合は，アクセスできない。 サブシステム ACE が使用できるのは，実行可能イメージのみ。 次の例では，特定のサブシステム・イメージを実行しているプロセスに，識別子 ACCOUNTING を追加している。 この識別子によって，プロセスはサブシステムによって所有されるオブジェクトにアクセスできる。 (SUBSYSTEM, IDENTIFIER=ACCOUNTING)

これらの ACE についての詳細は『OpenVMS システム管理 ユーティリティ・リファレンス・マニュアル』を， また ACE の作成および適用方法についての詳細は 『OpenVMS システム・セキュリティ・ガイド』を参照してください。

12.6.2 識別子の種類

識別 ACE に設定可能な識別子は，いくつかの種類に分類されます。 識別子は 1 文字から 31 文字の長さの英数字文字列で構成し， 少なくとも 1 字は英字にします。 使用可能な文字は0 から 9 の数字と A から Z の英字， そしてドル記号 ($) とアンダスコア (_) です。 識別子の種類を次の表に示します。

SYS$SYSTEM の STARTUP.COM システム・スタートアップ・プロシージャは， 環境識別子の他，SYS$NODE_ ノード名の形式でシステム・ノード識別子も作成します。

12.8.1 識別 ACE の登録

識別 ACE は，特定のユーザまたはグループに許可するアクセス・タイプを制御します。 形式は次のとおりです。

たとえば次の ACE は，UIC 識別子 [SALES,PAT] で表されるユーザ Pat にファイルに対する読み込み，書き込み，および実行のアクセス権のみ付与しています。 削除または制御のアクセス権が指定されていないため，Pat がそれらのアクセス権を持つことはありません。

(IDENTIFIER=[SALES,PAT],ACCESS=READ+WRITE+EXECUTE)

識別 ACE の省略時の属性を使って，特定のディレクトリに新たに作成されるファイルの ACL に取り込む省略時の ACE を定義することができます。 たとえば，PERSONNEL という識別子を持つユーザに読み込みおよび書き込みのアクセス権を許可する ACE が， [MALCOLM] というディレクトリのすべてのファイルに設定されるようにしたい場合は， MALCOLM.DIR ファイルの ACL に次の ACE を記入しておきます。

(IDENTIFIER=PERSONNEL,OPTIONS=DEFAULT,ACCESS=READ+WRITE)

この ACE 指定があると，[MALCOLM] ディレクトリに作成されるすべてのファイルが次の ACE を持ちます。

(IDENTIFIER=PERSONNEL,ACCESS=READ+WRITE)

識別 ACE の省略時の属性と ACL 処理時の省略時属性の働きについては，『OpenVMS システム・セキュリティ・ガイド』にさらに詳しい説明があります。

12.8.2 省略時の保護コードの設定

省略時の保護 ACE は， ディレクトリとそのサブディレクトリに新たに作成されるすべてのファイルに対する保護コードを設定するエントリです。 ファイルの以前のバージョンが存在する場合， この ACE は適用されず，以前のファイルの保護が使用されます。 この ACE の形式は次のとおりです。

たとえば次の ACE は，システムと所有者カテゴリのユーザには， ディレクトリに新たに作成されるファイルに対する読み込み，書き込み， 実行，削除のアクセス権を付与し，グループとワールド・ユーザにはアクセス権を付与しないよう指示しています。

(DEFAULT_PROTECTION,S:RWED,O:RWED,G,W)

	注意: 省略時の保護 ACE はサブディレクトリには適用されません。 ACE が親ディレクトリに適用された後で作成されたサブディレクトリには適用されます。

12.8.3 機密保護アラームおよび監査の生成

機密保護 ACE を使用して，保護されているオブジェクトに対して， 特定のタイプのアクセスが行われたとき，イベント・メッセージを送るよう指示することができます。 機密保護アラーム ACE は， イベント・メッセージをセキュリティ・オペレータのターミナルに送信し， 機密保護監査 ACE はそのイベント・メッセージをシステム・セキュリティ監査ログ・ファイルに送信します。

この ACE の使用方法についての詳細は， 『OpenVMS システム・セキュリティ・ガイド』を参照してください。

12.9.1 機密保護アラーム対象とするイベント・クラスの指定

OpenVMS オペレーティング・システムは， 『OpenVMS システム管理者マニュアル (下巻)』にあるようなイベントを自動的に監視します。

また，DCL の SET AUDIT コマンドの /ENABLE 修飾子で 表 12-1 「OpenVMS が報告するイベント・クラス」 に示すようなキーワードを指定すると， 他のクラスのイベントを監視することができます。

SET AUDIT コマンドについての詳細は， 『OpenVMS DCL ディクショナリ』を参照してください。