基 於 安 全 LDAP 伺 服 器 之 整 合 服 務 認 證 系 統 設 計 與 實 現 李 明 坤 楊 中 皇 高 雄 師 範 大 學 資 訊 教 育 研 究 所 摘 要 網 路 世 界 裡, 辨 識 身 分 是 一 個 大 問 題, 當 越 來 越 多 的 人 開 始 使 用 網 路 服 務 時, 身 分 認 證 的 問 題 就 接 踵 而 來 網 路 上 提 供 服 務 的 伺 服 器 眾 多, 一 個 人 擁 有 兩 個 以 上 的 帳 號 並 不 稀 奇, 但 要 去 記 得 每 個 帳 號 與 密 碼 並 不 是 一 件 容 易 的 事 情, 而 且 系 統 管 理 員 要 去 管 理 每 一 部 主 機 上 的 帳 號 也 是 一 件 棘 手 的 事 假 設 有 一 個 可 以 儲 存 所 有 人 帳 號 與 密 碼 的 系 統, 換 句 話 說, 使 用 者 只 要 記 住 一 個 帳 號, 使 用 網 路 服 務 由 這 個 系 統 認 證, 一 但 認 證 成 功, 便 可 登 入 使 用 網 路 資 源 如 同 一 個 中 央 管 控 機 制, 集 中 所 有 資 料, 負 責 身 分 辨 識 與 帳 號 管 理 工 作, 這 樣 子 管 理 將 會 變 成 十 分 方 便 LDAP 是 一 個 標 準 通 信 協 定, 它 支 援 許 多 認 證 與 安 全 的 選 項, 將 LDAP 伺 服 器 視 為 認 證 伺 服 器, 可 以 提 供 非 常 好 的 認 證 與 帳 號 管 理 功 能, 加 上 本 身 所 支 援 多 項 的 安 全 功 能, 保 障 網 路 服 務 存 取 的 安 全 關 鍵 字 : authentication LDAP PAM NSS 1. 前 言 複 雜 的 網 路 環 境 使 各 組 織 需 要 大 量 的 目 錄, 用 以 識 別 多 個 作 業 系 統 應 用 程 式 網 路 服 務 與 企 業 內 部 與 外 部 的 用 戶 隨 著 組 織 實 施 的 目 錄 愈 來 愈 多, 要 有 效 的 控 制 管 理 與 存 取 資 訊 變 得 非 常 困 難, 更 甚 者 導 致 管 理 成 本 超 支, 生 產 力 下 降, 並 且 可 能 造 成 資 料 的 不 一 致 網 路 服 務 多 要 求 每 位 使 用 者 有 一 個 使 用 者 帳 號 和 密 碼, 作 為 識 別 使 用 者 身 份 很 少 有 一 個 網 路 服 務 允 許 使 用 者 透 過 一 個 通 用 帳 號 可 以 使 用 多 種 服 務 使 用 者 必 須 申 請 個 別 帳 號 來 存 取 每 一 種 要 求 認 證 的 網 路 服 務 當 越 來 越 多 的 人 開 始 使 用 網 路 提 供 服 務 時, 身 分 認 證 的 問 題 就 浮 現 出 來 網 路 上 提 供 服 務 的 主 機 眾 多, 一 個 人 擁 有 有 兩 個 以 上 的 帳 號 並 不 稀 奇, 就 如 同 一 個 人 擁 有 兩 張 以 上 信 用 卡 一 樣 平 常 但 是 要 去 記 得 每 個 帳 號 與 密 碼 並 不 是 一 件 容 易 的 事 假 設 有 一 個 系 統 可 以 儲 存 所 有 人 的 帳 號 與 密 碼, 換 句 話 說, 使 用 者 只 要 記 住 一 個 帳 號, 即 可 經 由 這 個 系 統 認 證 去 登 入 使 用 其 他 服 務, 這 將 會 變 成 十 分 方 便 如 同 一 個 中 央 管 控 機 制, 集 中 所 有 人 資 料 負 責 管 理 工 作 上 述 的 問 題, 有 業 者 提 供 相 關 解 決 方 案, Netscape 是 最 早 推 出 LDAP 整 合 網 路 服 務 產 品 的 公 司, 它 的 作 法 是 將 使 用 者 相 關 資 料, 包 括 帳 號 密 碼 電 子 郵 件 與 使 用 者 姓 名 等 資 料 皆 儲 存 在 LDAP 伺 服 器 裡 面, 當 網 頁 伺 服 器 或 是 郵 件 伺 服 器 需 要 使 用 者 帳 號 與 密 碼 認 證 的 時 候, 就 交 由 LDAP 伺 服 器 作 認 證, 一 但 認 證 成 功, 就 可 以 取 用 網 頁 伺 服 器 或 是 郵 件 伺 服 器 上 的 資 源 另 外 1133
還 有 Novell 的 edirectory 以 及 Microsoft 的 Active Directory 上 述 產 品 皆 為 商 業 軟 體, 所 提 供 的 功 能 與 服 務 自 有 一 定 水 準 使 用 者 不 僅 要 花 錢 購 買, 若 是 要 修 改 部 分 功 能 滿 足 需 求, 似 乎 較 難 以 達 到, 只 能 被 動 處 於 等 待 產 品 更 新 開 放 原 始 碼 計 畫 中 的 目 錄 服 務 工 具 --OpenLDAP 也 可 以 達 到 上 述 部 分 功 能, 它 可 支 援 多 種 認 證 的 方 式 有 certificate-based 認 證 Kerberos 認 證 明 文 密 碼 摘 要 認 證 (digest authentication) 智 慧 卡 (smart card) 與 SSL, 且 具 有 許 多 安 全 功 能 選 項, 足 以 成 為 安 全 認 證 伺 服 器 因 為 是 開 放 原 始 碼, 使 用 者 可 以 免 費 下 載 與 自 由 修 改 部 分 程 式 碼, 滿 足 自 己 對 功 能 上 的 要 求 傳 統 的 UNIX 系 統 使 用 者 密 碼 用 crypt 函 式 加 密 儲 存 在 /etc/passwd 中, 使 用 密 碼 對 用 戶 進 行 認 證, 使 用 者 輸 入 的 密 碼 經 過 crypt 加 密 後, 再 和 passwd 檔 中 的 密 碼 進 行 比 對 為 了 讓 使 用 者 讀 得 到, 權 限 必 須 設 定 為 0644, 等 於 編 碼 後 的 密 碼 可 以 被 登 入 的 使 用 者 讀 到 為 避 免 使 用 者 利 用 crack 這 種 公 用 程 式 破 解 crypt 加 密 密 碼, Linux 在 安 裝 時 多 半 預 設 使 用 shadow 再 加 上 MD5 來 編 碼, passwd 檔 中 的 密 碼 被 轉 到 /etc/shadow 下, 檔 案 的 權 限 只 有 root 才 能 讀 到 MD5 是 一 種 較 先 進 的 編 碼 方 式,255Bytes 的 編 碼 長 度 可 以 大 量 延 長 被 破 解 的 時 間 如 此 作 法 卻 面 臨 兩 個 問 題, 第 一, 管 理 員 自 由 設 定 系 統 的 安 全, 系 統 可 能 設 定 是 MD5 加 上 shadow, 或 是 MD5 但 不 加 shadow, 甚 至 用 其 它 的 認 證 方 式 ( 像 kerberos), 但 是 像 login 這 種 登 入 程 式 如 何 判 斷 系 統 採 用 何 種 認 證 方 式 ; 第 二, 網 路 服 務 愈 來 愈 盛 行, 許 多 服 務 被 開 發 出 來, 這 些 服 務 要 採 用 何 種 方 式 進 行 系 統 認 證 上 述 問 題 的 方 法 可 以 使 用 PAM 進 行 統 一 身 份 的 認 證 PAM, 嚴 格 一 點 稱 為 Linux-PAM (Pluggable Authentication Modules for Linux) 使 用 在 Linux 上 可 插 拔 式 認 證 模 組, 是 一 組 能 讓 系 統 管 理 員 自 由 切 換, 選 擇 認 證 模 組 來 驗 證 使 用 者 的 共 享 函 式 庫 利 用 PAM 模 組 統 一 各 伺 服 器 間 認 證 的 問 題 2.1 LDAP 2. 文 獻 探 討 LDAP (Lightweight Directory Access Protocol) 由 密 西 根 大 學 所 發 明 定 義 於 RFC 1777, 是 一 種 衍 生 至 X.500 且 運 作 在 TCP/IP 架 構 上 的 目 錄 服 務 存 取 協 定, 目 前 最 新 版 本 是 第 三 版 LDAP 如 同 資 料 庫 般 可 以 儲 存 資 料, 但 多 是 描 述 性 或 屬 性 為 主 資 料 這 些 資 料 用 途 多 是 提 供 被 讀 取, 較 少 經 常 變 動 資 料 以 樹 狀 結 構 組 成, 允 許 資 料 按 階 層 分 散 在 不 同 區 域, 因 此 無 論 從 任 何 一 部 LDAP 伺 服 器 所 詢 問 到 的 資 料 都 會 相 同 樹 狀 結 構 上 的 每 一 個 物 件 由 多 種 屬 性 與 數 值 組 成, 物 件 可 以 代 表 示 是 一 個 使 用 者 一 部 電 腦, 甚 至 一 個 部 門, 每 個 皆 有 一 個 識 別 名 稱 (DN), 定 義 於 RFC 1779, 識 別 名 稱 (DN) 命 名 是 由 上 層 父 節 點 的 RDN 串 結 而 成, 且 是 唯 一 的 LDAP 伺 服 器 裡 頭 的 資 料 是 以 LDIF(LDAP Data Interchange Format) 格 式 來 儲 存, 它 是 一 種 純 文 字 方 式 來 呈 現 資 料 的 格 式 這 種 格 式 是 依 行 (line) 來 作 區 隔, 冒 號 之 後 接 的 是 資 料 的 屬 性, 例 如 : 1134
dn: cn=david,ou=people,dc=example,dc=com uid: david cn: david wang objectclass: account objectclass: posixaccount objectclass: top... 這 種 格 式 容 易 在 LDAP 伺 服 器 之 間 轉 送 備 份 與 做 大 量 資 料 的 修 改 2.2 PAM 模 組 PAM (Pluggable Authentication Modules) 使 用 在 Linux 上 可 插 拔 式 認 證 模 組, 是 一 組 能 讓 系 統 管 理 員 自 由 置 換, 選 擇 認 證 模 組 來 驗 證 使 用 者 的 共 享 函 式 庫 安 裝 這 些 模 組, 勿 需 重 新 編 譯 應 用 程 式 就 可 以 安 裝 使 用 其 最 大 的 優 點 是 它 的 彈 性 和 可 擴 充 性, PAM 能 夠 提 供 的 認 證 方 式 多 種 多 樣, 從 絕 對 信 任 (pam_permit) 到 智 慧 卡 (Smart Card) 可 以 隨 意 切 換 認 證 機 制, 按 實 際 需 要 來 制 訂 認 證 模 組 PAM 可 以 視 為 是 要 求 認 證 服 務 的 應 用 程 式 與 提 供 認 證 服 務 的 認 證 機 制 之 間 的 溝 通 介 面 從 整 個 認 證 系 統 來 看, PAM 是 認 證 系 統 的 應 用 程 式 介 面 (API), 或 者 說 是 前 端 ; 而 認 證 機 制 模 組 則 是 後 端, 如 圖 1 圖 1. 顯 示 PAM 和 認 證 機 制 與 應 用 程 式 之 間 的 關 係 舉 例 來 說, 從 FTP 下 載 檔 案, 必 須 先 輸 入 使 用 者 名 稱 和 密 碼 才 能 登 入 取 得 服 務, 就 FTP 而 言, 判 斷 使 用 者 的 帳 號 密 碼 是 否 有 效 與 它 無 關,FTP 只 是 將 這 組 認 證 資 訊 傳 給 PAM, PAM 會 根 據 /etc/pam.conf 的 設 定 值 來 決 定 如 何 認 證, 接 下 來 相 關 認 證 的 過 程, 例 如 比 對 使 用 者 名 稱 和 密 碼, 就 交 給 後 端 的 認 證 機 制 模 組 來 做 最 後,PAM 將 認 證 結 果 成 功 或 失 敗 傳 回 值 給 FTP 引 擎, 完 成 整 個 認 證 過 程 1135
PAM 共 有 四 種 認 證 型 態 (type), 分 別 是 auth( 認 證 ), account( 帳 號 管 理 ), session ( 對 話 管 理 ), 和 password ( 密 碼 管 理 ), 代 表 了 不 同 種 類 的 認 證 程 序, 也 稱 為 PAM 模 組 介 面 (PAM module interfaces) PAM 設 定 檔 以 空 白 或 是 [Tab] 分 欄, 分 為 四 個 欄 位, 由 左 至 右 分 別 是 : 認 證 型 態 (module interface), 控 制 旗 標 ( control flag), 模 組 路 徑 ( module path) 和 模 組 引 數 (module arguments) 當 前 端 程 式 呼 叫 PAM 的 時 候, PAM 除 了 依 據 設 定 檔 作 不 同 型 態 的 認 證 外, 還 必 須 依 照 控 制 旗 標 的 設 定 來 傳 回 認 證 成 功 (PAM_SUCCESS) 或 是 認 證 失 敗 (PAM_FAILURE) 預 設 的 控 制 旗 標 有 四 個 : required, requisite, sufficient, optional 由 於 PAM 是 開 放 標 準, 目 前 Linux 上 絕 大 部 分 伺 服 器 皆 透 過 PAM 機 制 做 登 入 認 證, 相 關 的 模 組 數 量 很 多, 各 種 網 路 服 務 自 行 開 發 自 己 的 認 證 模 組, 表 一 所 列 為 部 份 PAM 基 本 模 組 表 一 : PAM 基 本 模 組 模 組 名 稱 適 用 型 態 說 明 相 關 檔 案 pam_access ac 限 制 使 用 者, 群 組 或 網 路 位 址 /etc/security/access.conf pam_cracklib pw 限 制 密 碼 內 容 如 長 度, 大 小 寫 pam_deny all 禁 止 存 取, 固 定 傳 回 值 : 失 敗 pam_ftp au 控 制 匿 名 ftp 的 使 用 pam_group au 賦 與 使 用 者 群 組 資 格 /etc/security/group.conf pam_krb4 au ac pw kerberos 驗 證 及 ticket pam_limits se 限 制 系 統 資 源 的 使 用 /etc/security/limits.conf pam_nologin au 禁 止 除 root 以 外 的 使 用 者 登 入 /etc/nologin pam_permit all 允 許 使 用 者 登 入 pam_rootok au 允 許 root 不 使 用 密 碼 pam_time ac 服 務 時 間 限 制 /etc/security/time.conf pam_unix all 標 準 UNIX 認 證 模 組 在 PAM 中, 使 用 者 密 碼 一 般 是 由 模 組 unix 來 認 證, 更 改 / 設 定 則 是 由 cracklib 控 制, 另 外, limits 可 以 用 來 限 制 資 源 的 使 用, time 則 可 以 用 登 入 1136
時 間 來 限 制 PAM 可 以 根 據 不 同 的 需 要 引 用 不 同 的 PAM 模 組, 形 成 模 組 堆 疊 (Stacked Modules), 彈 性 地 達 成 系 統 管 理 員 的 複 雜 要 求 2.3 NSS 模 組 NSS(Name Service Switch, 名 稱 服 務 切 換 ) 模 組 可 讓 管 理 者 指 定 欲 詢 問 的 檔 案 或 目 錄 次 序, 以 取 得 所 需 的 資 訊 利 用 LDAP 伺 服 器 作 為 使 用 者 認 證 的 作 法, 是 將 要 驗 證 的 帳 號 資 料 置 於 同 一 目 錄 下, 然 後 再 導 向 此 目 錄 利 用 NSS 模 組 充 當 名 稱 解 析 轉 向 器, 設 定 名 稱 查 詢 首 先 詢 問 LDAP 伺 服 器 例 如 欲 查 詢 某 主 機 資 訊 可 以 去 本 機 的 /etc/hosts 詢 問, 或 轉 向 DNS 查 詢, 或 是 本 研 究 中 的 利 用 LDAP 伺 服 器 查 詢, 解 析 資 訊 來 自 源 若 要 使 系 統 先 詢 問 LDAP 目 錄, 設 定 先 從 LDAP 伺 服 器 目 錄 查 詢 密 碼 檔 案 遮 蔽 檔 案 以 及 群 組 檔 案 設 定 如 下 passwd: shadow: group: ldap files ldap files ldap files 這 個 設 定 檔 表 示 先 從 LDAP 伺 服 器 開 始 查 詢, 查 無 資 料 之 後 才 換 到 files( 也 就 是 本 機 的 /etc/hosts ) 3. 系 統 架 構 圖 2. 認 證 系 統 架 構 本 研 究 系 統 架 構 如 圖 2 所 示, 主 要 運 作 模 式 是 主 從 式 架 構, 分 成 兩 個 部 份, 一 部 分 是 伺 服 端, 接 受 服 務 請 求, 以 LDAP 伺 服 器 當 認 證 伺 服 器, CA 是 憑 證 管 理 伺 服 器, 憑 證 管 理 中 心 可 將 申 請 通 過 的 憑 證 傳 送 到 LDAP 伺 服 器, 共 使 用 者 隨 時 下 載 ; 另 一 邊 是 用 戶 端, 使 用 者 輸 入 帳 號 與 密 碼, 或 是 利 用 所 隸 屬 的 讀 卡 機 插 入 智 慧 卡 來 讀 取 儲 存 在 卡 片 內 的 使 用 者 資 訊 使 用 者 向 應 用 程 式 提 出 服 務 要 求, 經 由 置 入 NSS 模 組 轉 向 LDAP 查 詢 使 用 者 資 訊, 並 1137
利 用 所 設 定 PAM 模 組 驗 證 資 料 的 有 效 性, PAM 依 據 設 定 檔 作 不 同 型 態 的 認 證, 分 別 呼 叫 所 使 用 的 共 享 函 式 進 行 驗 證 工 作, 一 但 驗 證 成 功, 傳 回 值 認 證 成 功 (PAM_SUCCESS), 否 則 傳 回 值 驗 證 失 敗 (PAM_FAILURE) 一 但 認 證 成 功, 應 用 程 式 將 會 通 知 使 用 者 可 以 成 功 登 入 使 用 網 路 資 源 整 個 認 證 系 統 流 程 圖 如 圖 3 所 示 4.1 系 統 實 作 圖 3. 認 證 流 程 圖 4. 整 合 服 務 認 證 系 統 實 作 在 系 統 服 務 上, 許 多 公 司 用 LDAP 作 為 公 司 白 頁 解 決 方 案, 因 為 許 多 email 與 行 事 曆 應 用 都 與 LDAP 相 容 Netscape Mozilla Evolution Outlook KMail 與 許 多 email 用 戶 端 程 式 都 強 力 支 援 LDAP, 例 如 Outlook 查 詢 LDAP 伺 服 器 目 錄 或 新 增 使 用 者 帳 號 ( 見 圖 4) 圖 4. 利 用 outlook 查 詢 LDAP 伺 服 器 帳 號 1138
LDAP 的 圖 形 化 編 輯 器 及 瀏 覽 器, 例 如 :GQ Java LDAP Borwser/Editor 與 Softerra LDAP Administrator/Browser 用 來 管 理 帳 號 作 業, 但 是 多 僅 能 查 詢 或 管 理 目 錄 資 訊, 缺 乏 整 合 各 項 服 務 功 能 Miscrosoft 的 Active Directory 與 Novell 的 edirectory 聲 稱 具 有 全 目 錄 服 務 的 功 能, 可 整 合 各 項 網 路 服 務 Active Directory/ Miscrosoft 以 網 域 (domain) 的 概 念, 將 網 域 內 的 電 腦 與 使 用 者 視 為 管 理 物 件, 預 設 利 用 Kerberos 為 認 證 協 定 來 去 認 證 登 入 網 域 的 任 何 物 件, 物 件 一 但 認 證 成 功, 既 可 依 所 設 定 權 限 存 取 網 域 內 的 資 源 上 述 產 品 為 商 業 軟 體, 使 用 者 需 花 錢 購 買, 無 法 修 改 部 分 功 能 滿 足 需 求, 只 能 被 動 處 於 等 待 產 品 更 新 本 研 究 利 用 Borland C++ Build 設 計 一 個 簡 易 的 圖 形 化 整 合 認 證 登 入 系 統 ( 見 圖 5), 透 過 本 程 式 除 了 可 以 連 接 LDAP 伺 服 器 查 詢 使 用 者 資 訊, 也 可 以 提 供 登 入 各 種 網 路 服 務 伺 服 器 的 單 一 認 證 窗 口 圖 5. 整 合 服 務 認 證 系 統 登 入 步 驟 可 以 使 用 輸 入 使 用 者 帳 號 與 通 行 碼, 透 過 認 證 手 續 ( 見 圖 6) 提 出 服 務 要 求 因 為 LDAP 物 件 階 層 式 的 命 名 方 式 可 確 保 使 用 者 名 稱 具 獨 立 性, 就 算 是 相 同 的 帳 號 名 稱, 但 因 所 屬 的 父 節 點 RDN 不 同, 可 以 擔 保 該 節 點 DN 是 本 目 錄 樹 唯 一 識 別 名 稱, 經 由 儲 存 物 件 的 LDAP 伺 服 器 來 認 證 登 入 使 用 名 稱 是 否 有 效 也 可 以 使 用 儲 存 有 核 發 的 公 開 金 鑰 憑 證 私 密 金 鑰 與 相 關 使 用 者 資 訊 的 智 慧 卡, 只 要 使 用 隸 屬 的 讀 卡 機 就 可 讀 出 資 料, 進 行 驗 證 工 作 因 為 智 慧 卡 難 以 複 製 的 安 全 特 性, 對 使 用 者 密 碼 又 多 一 層 保 護 圖 6. 認 證 手 續 1139
為 簡 化 登 入 不 同 主 機 須 重 新 輸 入 帳 號 的 麻 煩, LDAP 可 支 援 指 定 一 群 使 用 者 存 取 特 定 主 機 服 務, 達 到 使 用 單 一 身 分 可 以 存 取 多 重 服 務 的 目 的, 省 卻 記 憶 多 組 帳 號 麻 煩, 也 可 做 到 單 一 簽 入 (Single sign on) 優 點 實 作 方 式 就 是 在 LDAP 建 立 一 筆 ldif 資 料, 例 如 : dn: uid=bill,ou=people,dc=example,dc=com uid: bill cn: bill wang objectclass: account objectclass: posixaccount objectclass: shadowaccount loginshell: /bin/bash uidnumber: 680 gidnumber: 200 homedirectory: /home/bill userpassword: {crypt}hoymlmd5giae host: ldap.example.com host: ftp.example.com host: www.example.com 這 筆 資 料 建 立 在 LDAP 伺 服 器 裡 面, 使 用 者 就 可 用 bill 帳 號 登 入 到 ldap ftp 和 www 主 機 存 取 資 源 以 LDAP 伺 服 器 做 為 認 證 伺 服 器, 只 要 將 應 用 服 務 伺 服 器 認 證 機 制 更 換 為 PAM 機 制 的 認 證 模 組, 即 可 將 認 證 工 作 交 由 LDAP 伺 服 器 來 擔 任 目 前 Linux 系 統 裡, Telnet POP3 IMAP FTP WU-FTP 與 Apache 等 伺 服 器 的 認 證 皆 可 透 過 PAM 機 制 作 認 證 工 作 Apache 可 借 目 錄 之 便, 設 定 公 司 內 部 人 員 存 取 檔 案 權 限 另 外, 代 理 伺 服 器 Squid 也 支 援, 用 來 限 制 僅 內 部 人 員 才 有 權 使 用 網 路 資 源 4.2 安 全 問 題 現 在 將 所 有 資 料 集 中 在 同 一 目 錄, 裡 面 存 放 許 多 敏 感 的 資 料, 安 全 問 題 的 顧 慮 就 非 常 重 要 有 些 資 料 要 避 免 非 授 權 用 戶 讀 取, 雖 然 所 有 資 料 經 過 雜 湊 函 數 運 算 成 雜 湊 值, 但 也 可 能 被 用 字 典 攻 擊 法 破 解, 更 甚 者, 任 何 人 都 可 能 擷 取 用 戶 端 與 伺 服 器 間 的 連 線, 偽 造 訊 息 或 是 重 送 (replay) 餵 給 另 一 端 使 用 者, 或 是 使 用 用 戶 端 的 權 限 去 更 改 伺 服 器 資 料 OpenLDAP 有 多 種 安 全 措 施 可 以 避 免 這 些 事 情 發 生 1140
存 取 控 制 清 單 (ACL, Access Control List) 限 制 誰 可 以 讀 取 與 誰 可 以 修 改 的 權 利, 有 效 分 配 每 個 使 用 者 存 取 服 務 的 權 限, 讓 不 相 關 的 人 員 沒 有 機 會 接 觸 敏 感 的 資 料, 防 止 未 被 授 權 人 士 入 侵 LDAP 提 供 一 套 存 取 控 制 的 語 法 來 保 護 不 同 資 料 的 存 取, 這 對 儲 存 密 碼 在 LDAP 目 錄 裡 面 來 說 非 常 重 要, 它 的 語 法 格 式 如 下 : access to attr=userpassword by * none by self write by anonymous auth 這 表 示 允 許 使 用 者 可 以 變 更 自 己 密 碼, 限 制 userpassword 只 能 用 於 認 證, 未 授 權 使 用 者 不 能 更 改 其 他 人 的 密 碼 這 與 讀 取 權 限 不 同, 使 用 者 永 遠 都 無 法 獲 得 userpassword 屬 性 的 值, 伺 服 器 只 會 比 對 使 用 者 輸 入 的 密 碼 與 存 放 在 目 錄 的 值, 意 思 是 說 密 碼 從 未 送 出 伺 服 器, 不 用 擔 心 被 第 三 者 擷 取 LDAP 提 供 兩 種 可 用 來 保 護 密 碼 的 機 制, 一 個 是 以 SASL 來 支 援 較 安 全 的 認 證,SASL(Simple Authentication and Security Layer) 定 義 在 RFC2222 可 以 提 供 認 證 與 授 權 功 能 的 API 與 模 組, 模 組 化 的 SASL 可 支 援 許 多 的 認 證 機 制, 如 Kerberos IV/V 到 CRAM 與 DIGEST MD5 另 一 個 是 支 援 使 用 TLS/SSL 的 加 密 與 認 證 方 式 TLS/SSL 使 用 X.509 憑 證 方 式 提 供 證 明 伺 服 器 真 偽 以 及 保 護 密 碼 在 網 路 上 傳 輸 同 樣 地, 對 伺 服 器 而 言, 它 也 可 以 證 明 使 用 者 真 偽 憑 證 的 取 得 可 以 向 知 名 廠 商 購 得, 例 如 Entrust, Versign 廠 商 或 是 便 宜 作 法 可 以 自 行 架 設 CA 發 行 憑 證, 利 用 OpenSSL 工 具 程 式, 自 己 產 生 CA 的 秘 鑰 與 CA 的 憑 證, 自 行 簽 署, 例 如 : % openssl genrsa des3 out ca.key 2048 % openssl req new x509 days 365 key ca.key out ca.cert 然 後 再 產 生 LDAP 的 私 鑰 與 憑 證, LDAP 伺 服 器 憑 證 由 自 行 產 生 的 CA 秘 鑰 簽 署 如 此, 當 LDAP 伺 服 器 啟 動 時, 就 可 以 使 用 TLS/SSL 功 能, 也 就 是 下 次 登 入 時 的 通 信 協 定 改 成 ldaps:///url, 在 會 談 過 程 當 中 提 供 傳 輸 層 階 段 的 加 密, 可 提 供 密 碼 的 保 護 5. 結 論 LDAP 伺 服 器 當 作 認 證 伺 服 器, 安 全 性 遠 勝 於 簡 單 的 密 碼 驗 證, 並 且 有 極 大 的 擴 充 空 間 本 研 究 利 用 LDAP 伺 服 器 提 供 的 帳 號 管 理 與 可 置 入 Linux 系 統 伺 服 器 的 PAM 認 證 模 組, 設 計 一 個 整 合 服 務 認 證 程 式, 提 供 目 錄 管 理 與 服 務 整 合 的 功 能, 減 少 公 司 軟 體 成 本 支 出 與 簡 便 帳 號 管 理 工 作 未 來 LDAP 的 應 用 將 會 更 加 廣 泛, 期 待 整 合 網 路 服 務, 便 利 資 源 的 分 享 1141
6. 參 考 文 獻 1. Andrew Findlay(2002), Security with LDAP, http://www.skills-1st.co.uk/papers/security-with-ldap-jan-2002/security-with -ldap.singlesided.pdf 2. Brad Marshell, System Authentication using LDAP, http://quark.humbug.org.au/publications/ldap/system_auth/sage-au/system_a uth.html 3. G.Carter(2003), LDAP System Administration, O Reilly 4. M.Smith and T.Howes(1997), LDAP: Programming Directory-Enabled Apps, sams 5. M. Wahl et al.(2000), "Authentication Methods for LDAP", IETF RFC 2829, http://www.ietf.org/rfc/rfc2829.txt 6. Novell edirectory, http://www.novell.com/ 7. OpenLDAP, http://www.openldap.org/ 8. PADL's nss_ldap, http://www.padl.com/oss/nss_ldap.html 9. PADL's pam_ldap, http://www.padl.com/oss/pam_ldap.html 10. T.Jackiewicz(2004), Deploying OpenLDAP, APress 11. W.Stallings(2003), Cryptography and Network Security: Principles and Practices, e3, Person Education 1142