26.7 セキュリティ上の考慮事項

NICI 3.0より前では、ユニバーサルパスワードはトリプルDES、ユーザ固有の鍵で暗号化されました。eDirectoryだけが読み込むことのできるシステム属性に、ユニバーサルパスワードとユーザ鍵の両方が格納されていました。ユーザ鍵(3DES)はツリー鍵で暗号化されて格納され、ツリー鍵は各マシンで固有のNICI鍵によって保護されていました。ツリー鍵とNICI鍵のどちらもeDirectoryの中に保管されなかったことに注意してください。これらは、保護対象のデータと共に保管されませんでした。ツリー鍵はツリー内の各マシンに存在していましたが、ツリーごとにツリー鍵が異なっていたため、ツリー鍵で暗号化されたデータは同じツリー内のマシンでのみ復号可能でした。こうして、ユニバーサルパスワードが保管されるときには3つのレベルの暗号化で保護されていました。

NICI 3.0はAES 256ビットストレージ鍵をサポートしています。したがって、他の鍵を安全にラップするためにストレージ鍵を使用するアプリケーションは、新しいアルゴリズムを処理できる必要があります。しかし、古い3-DES鍵を使って現在ラップされているデータは、変更なしで引き続きアクセス可能になります。

NICI 3.0はAES 256ビットツリー鍵をサポートします。しかし、eDirectoryはデフォルトでAES 256ビットツリー鍵を作成しません。バージョン9.0以前の環境でこの鍵を作成すると、ツリー鍵に依存するサービスで問題が発生する可能性があります。鍵を作成する前に、すべてのeDirectoryサーバを9.0に更新することをお勧めします。詳細については、「Creating an AES 256-Bit SDI Key」を参照してください。

それぞれの鍵は、eDirectoryの権利によっても保護されます。ユニバーサルパスワードを変更する権利を持つのは、スーパバイザ権を持つ管理者、またはその鍵を所有するユーザだけです。

ファイルシステム権限は、適切な権限を持つユーザのみが鍵にアクセスできるようにします。

高度なセキュリティを必要とする環境でユニバーサルパスワードを導入する場合は、次のような追加の対策を実行できます。