From owner-svn-doc-all@freebsd.org Sat Oct 14 01:48:32 2017 Return-Path: Delivered-To: svn-doc-all@mailman.ysv.freebsd.org Received: from mx1.freebsd.org (mx1.freebsd.org [IPv6:2001:1900:2254:206a::19:1]) by mailman.ysv.freebsd.org (Postfix) with ESMTP id 362D6E34534; Sat, 14 Oct 2017 01:48:32 +0000 (UTC) (envelope-from ryusuke@FreeBSD.org) Received: from repo.freebsd.org (repo.freebsd.org [IPv6:2610:1c1:1:6068::e6a:0]) (using TLSv1.2 with cipher ECDHE-RSA-AES256-GCM-SHA384 (256/256 bits)) (Client did not present a certificate) by mx1.freebsd.org (Postfix) with ESMTPS id 04A4E81A59; Sat, 14 Oct 2017 01:48:31 +0000 (UTC) (envelope-from ryusuke@FreeBSD.org) Received: from repo.freebsd.org ([127.0.1.37]) by repo.freebsd.org (8.15.2/8.15.2) with ESMTP id v9E1mVsS023308; Sat, 14 Oct 2017 01:48:31 GMT (envelope-from ryusuke@FreeBSD.org) Received: (from ryusuke@localhost) by repo.freebsd.org (8.15.2/8.15.2/Submit) id v9E1mV12023307; Sat, 14 Oct 2017 01:48:31 GMT (envelope-from ryusuke@FreeBSD.org) Message-Id: <201710140148.v9E1mV12023307@repo.freebsd.org> X-Authentication-Warning: repo.freebsd.org: ryusuke set sender to ryusuke@FreeBSD.org using -f From: Ryusuke SUZUKI Date: Sat, 14 Oct 2017 01:48:31 +0000 (UTC) To: doc-committers@freebsd.org, svn-doc-all@freebsd.org, svn-doc-head@freebsd.org Subject: svn commit: r51118 - head/ja_JP.eucJP/books/handbook/security X-SVN-Group: doc-head X-SVN-Commit-Author: ryusuke X-SVN-Commit-Paths: head/ja_JP.eucJP/books/handbook/security X-SVN-Commit-Revision: 51118 X-SVN-Commit-Repository: doc MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit X-BeenThere: svn-doc-all@freebsd.org X-Mailman-Version: 2.1.23 Precedence: list List-Id: "SVN commit messages for the entire doc trees \(except for " user" , " projects" , and " translations" \)" List-Unsubscribe: , List-Archive: List-Post: List-Help: List-Subscribe: , X-List-Received-Date: Sat, 14 Oct 2017 01:48:32 -0000 Author: ryusuke Date: Sat Oct 14 01:48:30 2017 New Revision: 51118 URL: https://svnweb.freebsd.org/changeset/doc/51118 Log: - Merge the following from the English version: r30930 -> r32503 head/ja_JP.eucJP/books/handbook/security/chapter.xml Modified: head/ja_JP.eucJP/books/handbook/security/chapter.xml Modified: head/ja_JP.eucJP/books/handbook/security/chapter.xml ============================================================================== --- head/ja_JP.eucJP/books/handbook/security/chapter.xml Fri Oct 13 16:10:56 2017 (r51117) +++ head/ja_JP.eucJP/books/handbook/security/chapter.xml Sat Oct 14 01:48:30 2017 (r51118) @@ -3,7 +3,7 @@ The FreeBSD Documentation Project The FreeBSD Japanese Documentation Project - Original revision: r30930 + Original revision: r32503 $FreeBSD$ --> @@ -54,7 +54,7 @@ - inetd と組み合わせて + inetd と組み合わせて TCP Wrappers を設定する方法 @@ -406,57 +406,36 @@ 何もしないよりは良いのですが、 必ずしも最も安全な選択肢とは限りません。 - + アカウントを完全にロックするには、 + &man.pw.8; コマンドを使うべきです。 - スタッフのアカウント、また究極には - root アカウントの安全性 - を高める間接的な方法は、別のログインアクセスの方法を用いてスタッ - フのアカウントの安全性を高め、その上でそのスタッフのアカウント - の暗号化パスワードを アスタリスク化 - するものです。 - &man.vipw.8; コマンドを使えば、暗号化されたパスワードを - * 1 文字に置き換えられます。 - このコマンドは、/etc/master.passwd - ファイルとユーザ/パスワードデータベースを更新して、 - パスワード認証によるログインができないようにします。 + &prompt.root;pw lock staff - たとえば、次のスタッフアカウントを、 + これにより、ユーザは、&man.ssh.1; + を含むいかなる方法でもログインできなくなります。 + アカウントへのアクセスをブロックするもう一つの方法は、 + 暗号化されたパスワードを + * 1 文字に置き換えることです。 + この文字は、暗号化されたパスワードにマッチすることはないので、 + ユーザアクセスをブロックします。 + たとえば、次のスタッフアカウントを、 + foobar:R9DT/Fa1/LV9U:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh こう変更します。 foobar:*:1000:1000::0:0:Foo Bar:/home/foobar:/usr/local/bin/tcsh - 暗号化されたパスワードは - * と一致することがないので、 - この変更によって通常のログインはできなくなります。 - こうした後は、スタッフメンバは認証のために &man.kerberos.1; や - 公開鍵 / 秘密鍵の組を用いる &man.ssh.1; のような代わりとなる認 - 証手段を利用しなければなりません。 - Kerberos のようなログイン機構を使う場合は、一般に Kerberos - サーバを実行するマシンと自分のデスクトップワークステーションの安全性を確保しなければなりません。 - また ssh で公開鍵 / 秘密鍵の組を使う場合、 - 一般に、ログイン元マシン (通常は自分のワー - クステーション) の安全性を確保しなければなりません。ここで、 - &man.ssh-keygen.1; で公開鍵 / 秘密鍵の組を生成する際、鍵の組 - をパスワードで防御することにより、鍵の組への防御層を追加するこ - ともできます。スタッフアカウントのパスワードを - アスタリスク でつぶすことができると、 - 管理者自身が設定 - した安全性の高い方法でしかスタッフメンバがログインできないこと - も保証できます。こうして、多くの侵入者が使う重大なセキュリティ - の穴である、 - 安全性の低い無関係なマシンからネットワークを覗き見る方法を塞ぐようなセッションを提供する、 - 安全性の高い暗号 - 化されたコネクションを使うことを、スタッフメンバ全員に強制する - ことができるのです。 + この変更によって + foobar ユーザは、 + 通常のログインはできなくなります。 + このようなアクセス制限をした後は、 + サイトで Kerberos をセットアップしたり、 + ユーザが &man.ssh.1; + の鍵を設定するなどといった認証手段を利用しなければなりません。 - より間接的なセキュリティの仕組みでは、制限の強いサーバから + これらのセキュリティの仕組みでは、制限の強いサーバから 制限の弱いサーバへログインすることを前提としています。たとえば、 メインマシンで、様々な種類のサーバを実行させている場合、ワーク ステーションではそれらのサーバを実行させてはなりません。ワーク @@ -1477,13 +1456,14 @@ Enter secret pass phrase: <secret passwo ファイアウォールをインストールしたいと考えているようです。 ファイアウォールは、幅広い用途がある一方で、 接続元に対しテキストを送るといった、取り扱ない作業があります。 - TCP ソフトウェアは、これ以上のことができます。 + TCP Wrappers ソフトウェアは、 + これ以上のことができます。 以下の節では、 TCP Wrappers の多くの機能が説明されています。 そして、適応できる場合には、設定行の例が紹介されています。 TCP Wrappers ソフトウェアは、 - inetd + inetd の管理のもとにすべてのサーバデーモンに対応する機能を拡張します。 この方法を使うことで、ログへの対応、 接続に対してメッセージを返したり、 @@ -1498,7 +1478,7 @@ Enter secret pass phrase: <secret passwo ファイアウォールおよび他のセキュリティ設定と組み合わせて使うことができ、 システムを守るための追加のレイヤとして上手く機能します。 - この設定は inetd の設定の拡張なので、 + この設定は inetd の設定の拡張なので、 inetd の設定 章をすでに読んでいることを想定しています。 @@ -1516,7 +1496,8 @@ Enter secret pass phrase: <secret passwo を使用ために必要となるのは、 rc.conf から オプションで - inetd サーバが起動されることを確認するだけです。 + inetd + サーバが起動されることを確認するだけです。 これはデフォルトの設定です。 もちろん、 /etc/hosts.allow @@ -1534,7 +1515,7 @@ Enter secret pass phrase: <secret passwo 最も簡単な設定におけるデーモンの接続ポリシは、 /etc/hosts.allow の中で、 オプションごとに許可またはブロックするように設定するというものです。 - &os; のデフォルトの設定では、inetd + &os; のデフォルトの設定では、inetd から起動されたすべてのデーモンの接続を許可します。 この設定を変更することについては、 基本的な設定を理解した後で議論されるべきです。 @@ -1547,8 +1528,9 @@ Enter secret pass phrase: <secret passwo address の部分は、有効なホスト名、 IP アドレスまたは、 括弧 ([ ]) で囲まれた IPv6 アドレスです。 - action フィールドの部分は、アクセスを適切に許可または拒否をするように、 - allow または deny となります。 + action フィールドの部分は、 + アクセスを適切に許可または拒否をするように、 + allow または deny となります。 最初のマッチしたルールが適用されると、 設定はそこで終わることを覚えておいてください。 これは、設定ファイルは昇順にルールのマッチをスキャンされ、 @@ -1565,7 +1547,8 @@ Enter secret pass phrase: <secret passwo # This line is required for POP3 connections: qpopper : ALL : allow - この行を追加したら、inetd を再起動してください。 + この行を追加したら、inetd + を再起動してください。 これを行うには、&man.kill.1; コマンドを使うか、 restart パラメータとともに、 /etc/rc.d/inetd を使ってください。 @@ -1644,7 +1627,8 @@ ALL : .example.com \ /var/log/connections.log ファイルに記録されます。 - すでに説明した置換文字 (たとえば %a) 以外にも置換文字があります。 + すでに説明した置換文字 (たとえば %a) + 以外にも置換文字があります。 完全な一覧は &man.hosts.access.5; マニュアルページをご覧ください。 @@ -3301,10 +3285,10 @@ define(`confTLS_SRV_OPTIONS', `V')dnl 最後に、ローカルの .cf ファイルを再構築する必要があります。 /etc/mail ディレクトリで、 - make install + make install と入力すると再構築できます。 - その後、make - restart と入力して、 + その後、make restart + と入力して、 Sendmail デーモンを再起動してください。 @@ -4014,8 +3998,9 @@ options IPSEC_ESP FreeBSD でセキュリティアソシエーションを管理するデーモンは数多くあります。 - この文書では、その中の一つの racoon の使い方について説明します。 - racoon は、&os; Ports Collection の + この文書では、その中の一つの racoon + の使い方について説明します。 + racoon は、&os; Ports Collection の security/ipsec-tools からインストールできます。 @@ -4039,15 +4024,16 @@ options IPSEC_ESP -- 彼らがカギをクラックしたときには、 2 つのデーモンは他の鍵を選択していることでしょう。 - racoon の設定は、 + racoon の設定は、 ${PREFIX}/etc/racoon で行われます。 ここには、設定ファイルが置かれていますが、 それほど多く変更する必要はありません。 - おそらくあなたが変更すべき racoon の設定の他の部分は、 + おそらくあなたが変更すべき racoon + の設定の他の部分は、 pre-shared key です。 - デフォルトの racoon の設定では、これは、 - ${PREFIX}/etc/racoon/psk.txt + デフォルトの racoon の設定では、 + これは、${PREFIX}/etc/racoon/psk.txt ファイルにあると仮定されています。 pre-shared key は、VPN リンクを経由するトラフィックの暗号化には、 用いられません。 @@ -4074,13 +4060,14 @@ options IPSEC_ESP A.B.C.D secret これは、リモート端の公開 IP アドレスと先ほどと同じ秘密鍵です。 - racoon を実行する前に psk.txt のモードは、 + racoon + を実行する前に psk.txt のモードは、 0600 (i.e., root のみが read/write できます) としてください。 - 両方のホストゲートウェイコンピュータで racoon - を走らせる必要があります。IKE + 両方のホストゲートウェイコンピュータで + racoon を走らせる必要があります。IKE トラフィックを許可するファイアウォールルールを追加する必要があります。 IKE トラフィックは、UDP 上で ISAKMP (Internet Security Association Key Management Protocol) port に対して実行されるものです。 @@ -4090,9 +4077,9 @@ options IPSEC_ESP ipfw add 1 allow udp from W.X.Y.Z to A.B.C.D isakmp - 一度 racoon を走らせたら、 + 一度 racoon を走らせたら、 片方のゲートウェイホストから、他のホストへ ping を実行できます。 - 接続は、まだ暗号化されていませんが、racoon + 接続は、まだ暗号化されていませんが、racoon はその後 2 つのホスト間のセキュリティアソシエーションを設定します。 これは時間を要し、 ping コマンドが反応する前に少し時間の遅れとして認識できるでしょう。 @@ -4298,7 +4285,8 @@ ipfw add 1 allow ipencap from W.X.Y.Z to A.B.C.D VPN の端から受け取った場合には、 - (racoon によりネゴシエートされたセキュリティアソシエーションを用いて) + (racoon + によりネゴシエートされたセキュリティアソシエーションを用いて) 最初に復号化を行います。 その後、gif インタフェースに入ります。 このインタフェースは、内部のネットワークを回ることのできる最も内側のパケットになるまで、セカンドレイヤのラップをはがします。 @@ -5382,14 +5370,14 @@ VII. References 実行されたコマンドに関する情報を見るには、 &man.lastcomm.1; ユーティリティを使ってください。 - lastcomm を使うと、 + lastcomm コマンドを使うと、 ユーザが特定の &man.ttys.5; で実行したコマンドを出力できます。 以下はその例です。 &prompt.root; lastcomm ls trhodes ttyp1 - このコマンドを実行すると、ttyp1 + このコマンドを実行すると、ttyp1 ターミナル上で trhodes が実行した ls の使用について、記録されているすべて示します。