Kerberos Notes for Japanese

かつて、Kerberos4 は OSF/1 などの DCE (Distributed Computing Environment) の認証システムとしても採用されたことで有名ですが、日本では暗号モジュールなしでの輸入しかできなかったこともあり、あまり注目されなかったようでした。また、ネットワークといっても目の届く範囲くらいのことでほとんど身内が使っていたわけですから、セキュリティのことよりも可用性が高いことが重用でした。したがって、リモートコマンドで十分だったのです。

Kerberos4 では暗号モジュールに 56ビットDES が使われていますが、Kerberos5では暗号化モジュールを選べるというメリットがあります。現在、KTH でも Kerberos5 の国際化版である HEIMDAL が開発されています。HEIMDAL でも MIT Kerberos5 や Windows2000 との相互運用が可能だそうです。ちなみに、Heimdal は北欧神話にでて来る見張の神さまです。

また、ヨーロッパの官学共同プロジェクトでは Kerberos5 の認証もサポートする SESAME(a Secure European System for Applications in a Multi-vendor Environmet) というシステムも開発されています。商用化されたものとしては、OpenMasterというシステムなどが有名です。

さて、組織で利用するコンピュータネットワークの安全性を考えた場合、組織内のネットワークの拡大に伴い、ファイアウォールで外部ネットワークからの安全を確保するのみならず、組織内のネットワークシステムの安全性の確保も必要となってきています。可用性と安全性を同時に充たすためには、それらを目的として開発された Kerberosのような分散環境向けの認証システムを利用することが不可欠となってきます。

昨今当り前のこととなりつつある、組織の内外を問わずネットワークの安全を確保したいという要求に Kerberos は答えることができます。こうした背景のもと、Windows2000 の認証システムの一部にも Kerberos が組み込まれています。もちろん、Kerberos だけですべてが解決するわけではなく、他のセキュリティツールとの併用によってより安全で使いやすい分散環境を構築することが大切です。

たとえば、ファイアウォールを工夫することにより、ファイアウォール越しのネットワークに対応したり、また、ダイアルアップのネットワークからの接続にもKerberos認証を利用することが可能です。また、Mozilla ブラウザに組み込まれた GSSAPI 認証モジュールで Kerberos認証を受けさせることもできるようになりました。

Windows のActive Directory では Kerberos が使われていますが、Samba 3.0はこれに対応できるようになります。(Samba 3.0の全貌 by たかはしもとのぶ氏)

出版されているKerberosについての参考文献

"Kerberos: The Definitive Guide", Jason Garman著,(O'REILLY, 2003) （邦訳「Kerberos」, オライリージャパン, 2004)
Kerberos A Network Authenticatin System, Brian Tung著、(Addison-Wesley) （邦訳「KERBEROS：ネットワーク認証システム」ピアソンエデュケーション、1999, 加筆した、はじめに）

Network Security、 Charlie Kaufman、Radia Perlman、Mike Speciner共著、 (Englewood Cliffs, N.J.: Prentice Hall, 1995) （邦訳：「ネットワークセキュリティー」、ピアソンエデュケーション、1997）
ファイアウォール&ネットワークセキュリティ実戦テクニック―すべてのPC UNIXユーザとサイト管理者に贈る最強セキュリティガイド (Software Design Security Issue, 2001) ISBN4-7741-1313-1
技術評論社のSoftwareDesign誌に掲載された記事と新たな書き下し記事を編集したものです。この書籍に納められた KTH版Kerberos4の設定を含む解説記事は初めての書き下ろしです。

Mac OS X の Kerberos

Mac OS X 10.3 では標準でKerberosが利用できます。

iBookでOpenSSHを使った簡単なKerberos認証テスト

Windows版 Heimdal

Heimdal の各種アーキテクチャ向けのトラベルキットが KTHのPDCサイトftp://ftp.pdc.kth.se/pub/heimdal/binaries/にあり、Windows版のバイナリも用意されています(i386-pc-windows)。

KTelnet: Kerberos Telnet for Windows

KTelnet( http://www.stacken.kth.se/~thn/ktelnet/beta/)は、 Windows95/98/ME/NT/2000/XP版の Kerberos クライアントです。バイナリパッケージも用意されてますので、簡単に導入できます。

Windows NT4.0 上の KTelnet で日本語フォントを設定すると日本語(SJIS)も表示できました。さらに、 KTelnet でログインしたサーバ上ので起動した emacs-20 では M-x set-terminal-coding-system で japanese-shift-jis-dos を指定すれば、日本語の編集もできました。

KTelnetについての簡単な説明

KTH版Kerberos4について

KTH-KRB はKTH(the Royal Institute of Technology in Stockholm, Sweden) で移植された Kerberos4 です。このキットには、暗号化セッション用 telnet を含むリモートアクセス用のコマンドやリモートからの管理ツールも含まれます。また、使い捨てパスワードとも呼ばれるワンタイム・パスワード(OTP:One Time Password)も含まれていて、Kerberos を使えないときにftpd や telnetd で OTP との併用利用によってセキュリティーを保つことが可能となってます。実際に使える kpop サーバとそのクライアントの雛型もあります。kpop サーバへは、後述の KTelnet に含まれるkpopproxy を解してWindows の一般的なメーラからアクセスすることが可能です。ダイアルアップ・クライアントでもチケットを貰うことができ、ケルベロス化されたサーバーにアクセスすることができます。この機能は、リモートのサーバ管理を安全にするために重宝しています。PostgreSQL ORDBMS の認証にも使えます。

このソフトウェアについての情報源は、 http://www.pdc.kth.se/kth-krb/ にあります。最近は、Windows NT にも移植されています。

Kerberos 4 のインストールと操作について

Kerberos のドキュメントは MIT の FTP サイト ( ftp://athena-dist.mit.edu/pub/kerberos/doc/)にあります。その中の、installation.PS と operation.PS の和訳です。また、FreeBSD ハンドブックもインストールや操作の参考となります。

MIT Kerberos4 インストールノート和訳 (Bill Bryant, Jennifer Steiner, john Kohl)
MIT Kerberos4 オペレーションノート和訳 (Bill Bryant, John Kohl)
FreeBSD ハンドブック和訳の中での Kerberos 設定の方法についての項目 (原作: Mark Murray, 訳：有村光晴)

Linux版 eBones

KTH版Kerberos4 がお奨めです。 KTH 版は、Linux を含め様々なマシンで動きます。 PostgreSQLの認証にも利用できます。

当初、Linux で動く Kerberos(KTH-KRB) があることを知らなかったため、MIT版 Kerberos4 を Linux で動くようにしたときのパッチがあります。サンプルプログラムや PostgreSQL DBMS の認証に使って試してみました。

FreeBSD版 eBones

FreeBSD 版に附属の eBones は暗号化ルーチンに独自の拡張を行なっているのか、なぜか KTH 版や上記の Linux 版とは認証のみはできるのですが、暗号化セッションでは失敗しました。FreeBSD とその他の OS との間で暗号化セッションを確立したいときは、KTH 版を FreeBSD でコンパイルしてインストールするとうまく行きましあ。

もくじ

Mac OS X の Kerberos

Windows Active Directory の認証システム

Windows版 Heimdal

KTelnet: Kerberos Telnet for Windows