« おいしいタコ焼きが食べたい、ぞなもし。 | メイン | せんべい と おかき »
2005年11月26日
某共用サーバ管理ソフトウェア：ログイン拒否アタックを受ける危険性 >>インターネット
某共用サーバ管理ソフトウェアには、「ログイン失敗時にアカウントをロック」する機能がありますが、それを逆手に取って、アカウントをほぼ使用不可能にすることが可能です。
しかも「管理者アカウントは固定の名前」であり、簡単に管理者が入れない状態を作り出すことが可能。
初期設定では、３回連続ログイン失敗で、３０分アカウントがロックされるため、３０分間隔でたった３回のエラーを引き起こすHTTPS POSTを送れば、管理者が、その管理ソフトウェアを使用できないようにできます。
現時点での対応方法としては、「アカウントロックとするエラー回数」を相当数の大きさに引き上げるしか手はありません。しかし、この方法では、パスワードアタックを何回も試せることにもなり、セキュリティは かなり低下します。
共同で管理している方から、開発元に対し確認を取ってもらっていますが、仕様的に以下の問題点があると考えられます。
１．ロジックとしての仕様ミス
特定ＩＰから指定回数をオーバしたリクエストがあった場合には、「該当ＩＰから、そのアカウントをロックする」という仕様が恐らく望ましい。（但し、ＩＰを切り替えればアタックが永続的に可能ではあるが、アカウント自体がロックされ使えないという状況は回避できる。）
２．拒否、許可ＩＰの設定
ログインが出来ないIP等を指定できるが、ホスティングしたユーザに対してコントロールパネルを提供することを考えると、ほぼ全てのＩＰを許可する必要が出てくる。
掲示板でのＳＰＡＭもそうであるが、ＩＰが動的に変わること、また、OpenProxyになってしまっているサーバが多々あり、その全てをブロックするのはほぼ無理と考えて良い。
３．管理者アカウント名称が固定名称である。
なるべく推察されにくいアカウントを作成すれば、このアタックでの影響は低くなると考えられる。ユーザ用アカウントはそれが可能であるが、前述した通り管理者アカウントは固定である。
４．アタックログが見れない
ＩＰで防ぐとしても、アタックがされたエラーログ等が簡単に見れなければ、サーバを管理するのは難しい。現状としては、コントロールパネル内から、これらのログを見ることはできないようだ。
この記事をTwitterでみんなに教える。トラックバック
現在、この記事はトラックバックを受け付けておりません。
コメント
現在、この記事はコメントを受け付けておりません。