RFC 5803 - Lightweight Directory Access Protocol (LDAP) Schema for Storing Salted Challenge Response Authentication Mechanism (SCRAM) Secrets 日本語訳

原文URL : https://datatracker.ietf.org/doc/html/rfc5803
タイトル : RFC 5803 - Salted Challenge Response認証メカニズム（SCRAM）の秘密を保存するためのLightWeight Directory Access Protocol（LDAP）スキーマ
翻訳編集 : 自動生成

[要約] RFC 5803は、SCRAM認証メカニズムの秘密情報を保存するためのLDAPスキーマを定義しています。目的は、LDAPディレクトリ内でSCRAM認証をサポートするための一貫性と互換性を提供することです。

Internet Engineering Task Force (IETF)                       A. Melnikov
Request for Comments: 5803                                 Isode Limited
Category: Informational                                        July 2010
ISSN: 2070-1721

Lightweight Directory Access Protocol (LDAP) Schema for Storing Salted Challenge Response Authentication Mechanism (SCRAM) Secrets

Salted Challenge Response認証メカニズム（SCRAM）の秘密を保存するためのLightWeight Directory Access Protocol（LDAP）スキーマ

Abstract

概要

This memo describes how the "authPassword" Lightweight Directory Access Protocol (LDAP) attribute can be used for storing secrets used by the Salted Challenge Response Authentication Message (SCRAM) mechanism in the Simple Authentication and Security Layer (SASL) framework.

このメモでは、「authwiegtディレクトリアクセスプロトコル（LDAP）属性が、Salted Challenge Response Authenticationメッセージ（SCRAM）メカニズムがSimple Authentication and Security Layer（SASL）フレームワークで使用される秘密を保存するためにどのように使用できるかについて説明します。

Status of This Memo

本文書の位置付け

This document is not an Internet Standards Track specification; it is published for informational purposes.

このドキュメントは、インターネット標準の追跡仕様ではありません。情報目的で公開されています。

This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are a candidate for any level of Internet Standard; see Section 2 of RFC 5741.

このドキュメントは、インターネットエンジニアリングタスクフォース（IETF）の製品です。IETFコミュニティのコンセンサスを表しています。公開レビューを受けており、インターネットエンジニアリングステアリンググループ（IESG）からの出版が承認されています。IESGによって承認されたすべてのドキュメントが、あらゆるレベルのインターネット標準の候補者ではありません。RFC 5741のセクション2を参照してください。

Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc5803.

このドキュメントの現在のステータス、任意のERRATA、およびそのフィードバックを提供する方法に関する情報は、http：//www.rfc-editor.org/info/rfc5803で取得できます。

著作権表示

This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.

このドキュメントは、BCP 78およびIETFドキュメント（http://trustee.ietf.org/license-info）に関連するIETF Trustの法的規定の対象となります。この文書に関するあなたの権利と制限を説明するので、これらの文書を注意深く確認してください。このドキュメントから抽出されたコードコンポーネントには、セクション4.Eで説明されている法的規定のセクション4.Eで説明されており、単純化されたBSDライセンスで説明されているように保証なしで提供される簡略化されたBSDライセンステキストを含める必要があります。

Table of Contents

   1. Overview ........................................................2
   2. Conventions Used in This Document ...............................3
   3. Security Considerations .........................................3
   4. Acknowledgements ................................................4
   5. Normative References ............................................4

1. Overview

1. 概要

This document describes how the authPassword LDAP attribute [AUTHPASS] can be used for storing secrets used by [SCRAM] Simple Authentication and Security Layer [RFC4422] Mechanisms.

このドキュメントでは、[SCRAM]シンプルな認証とセキュリティレイヤー[RFC4422]メカニズムで使用される秘密を保存するためにAuthPassWord LDAP属性[AuthPass]を使用する方法について説明します。

The "scheme" part of the authPassword attribute is the SCRAM mechanism name (always without the "-PLUS" suffix), e.g., "SCRAM-SHA-1". See [SCRAM] for the exact syntax of SCRAM mechanism names.

AuthPassWord属性の「スキーム」部分は、スクラムメカニズム名（常に「-Plus」接尾辞なし）、「Scram-Sha-1」です。スクラムメカニズム名の正確な構文については、[スクラム]を参照してください。

The "authInfo" part of the authPassword attribute is the iteration count (iter-count in the ABNF below), followed by ":" and base64- encoded [BASE64] salt.

authPassword属性の「authinfo」部分は、反復カウント（以下のABNFのiter-count）であり、その後に「：」およびbase64-エンコードされた[base64]塩が続きます。

The "authValue" part of the authPassword attribute is the base64- encoded [BASE64] StoredKey [SCRAM], followed by ":" and base64- encoded [BASE64] ServerKey [SCRAM].

authPassword属性の「authvalue」部分は、base64-エンコードされた[base64] storedkey [scram]に続いて、 "："およびbase64-エンコードされた[base64] serverkey [scram]が続きます。

Syntax of the attribute can be expressed using ABNF [RFC5234]. Non-terminal references in the following ABNF are defined in either [AUTHPASS], [RFC4422], or [RFC5234].

属性の構文は、ABNF [RFC5234]を使用して表現できます。次のABNFの非末端参照は、[authpass]、[rfc4422]、または[rfc5234]のいずれかで定義されています。

scram-mech = "SCRAM-SHA-1" / scram-mech-ext ; Complies with ABNF for <scheme> ; defined in [AUTHPASS].

scram-mech = "scram-sha-1" / scram-mech-ext;<schleme>のabnfに準拠しています。[authpass]で定義されています。

scram-authInfo = iter-count ":" salt ; Complies with ABNF for <authInfo> ; defined in [AUTHPASS].

scram-authinfo = iter-count "：" salt;<authinfo>のabnfに準拠しています。[authpass]で定義されています。

scram-authValue = stored-key ":" server-key ; Complies with ABNF for <authValue> ; defined in [AUTHPASS].

scram-authvalue = stored-key "：" server-key;<authvalue>のためにabnfに準拠しています。[authpass]で定義されています。

       iter-count   = %x31-39 *DIGIT
                      ; SCRAM iteration count.
                      ; A positive number without leading zeros.

       salt         = <base64-encoded value>
              stored-key   = <base64-encoded value>
                      ; See definition in [SCRAM].

       server-key   = <base64-encoded value>
                      ; See definition in [SCRAM].

       scram-mech-ext = "SCRAM-" 1*9mech-char
                      ; Other SCRAM mechanisms registered
                      ; in the IANA registry for SASL
                      ; mechanism names.

       mech-char    = <Defined in RFC 4422>

Note that the authPassword attribute is multivalued. For example, it may contain multiple SCRAM hashes for different hashing algorithms.

authPassword属性は多面体であることに注意してください。たとえば、異なるハッシュアルゴリズムの複数のスクラムハッシュが含まれる場合があります。

2. Conventions Used in This Document

2. このドキュメントで使用されている規則

The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119].

「必須」、「そうしない」、「必須」、「必要」、「しない」、「そうしない」、「そうではない」、「そうでない」、「推奨」、「5月」、および「オプション」は、[RFC2119]に記載されているように解釈される。

3. Security Considerations

3. セキュリティに関する考慮事項

This document defines how the authPassword attribute can be used to store SCRAM secrets. Therefore, security considerations relevant to [SCRAM] and hash functions used with it are also relevant to this document.

このドキュメントでは、authpassword属性を使用してスクラムシークレットを保存する方法を定義しています。したがって、[スクラム]に関連するセキュリティ上の考慮事項とそれに使用されるハッシュ関数も、このドキュメントに関連しています。

General security considerations related to the authPassword attribute (as specified in [AUTHPASS]) also apply to the use of authPassword as specified in this document. In particular, the values of authPassword SHOULD be protected as if they were cleartext passwords. A read operation on this attribute that is not protected by a privacy layer (such as IPsec or TLS) can expose this attribute to an attacker who a) would be able to use the intercepted value to impersonate the user to all servers providing SCRAM access using the same hash function, password, iteration count, and salt or b) would be able to perform an offline dictionary or brute-force attack in order to recover the user's password.

AuthPassWord属性に関連する一般的なセキュリティ上の考慮事項（[authPass]で指定されているように）は、このドキュメントで指定されているAuthPasswordの使用にも適用されます。特に、AuthPassWordの値は、まるでそれらがクリアテキストパスワードであるかのように保護する必要があります。プライバシーレイヤー（IPSECやTLSなど）によって保護されていないこの属性の読み取り操作は、この属性をa）を使用してユーザーになりすましてスクラムアクセスを提供するすべてのサーバーにユーザーになりすましている攻撃者に公開できます。同じハッシュ関数、パスワード、反復カウント、塩またはb）は、ユーザーのパスワードを回復するために、オフライン辞書またはブルートフォース攻撃を実行できます。

Servers MUST validate the format of the authPassword attribute before using it for performing a SCRAM authentication exchange. It is possible that an attacker compromised the LDAP server or got access to the entry containing the attribute in order to exploit a vulnerability in the subsystem performing the SCRAM authentication exchange. Big iteration counts and invalid base64 encoding are two possible (but not the only) exploits in the format specified in the document.

サーバーは、スクラム認証交換を実行するために使用する前に、AuthPassWord属性の形式を検証する必要があります。攻撃者がLDAPサーバーを侵害したか、スクラム認証交換を実行するサブシステムの脆弱性を活用するために、属性を含むエントリにアクセスした可能性があります。大きな反復カウントと無効なbase64エンコードは、ドキュメントで指定された形式で2つの可能性のある（ただし唯一ではない）エクスプロイトです。

4. Acknowledgements

4. 謝辞

The author gratefully acknowledges the feedback provided by Chris Newman, Kurt Zeilenga, Chris Lonvick, Peter Saint-Andre, Barry Leiba, and Chris Ridd.

著者は、クリス・ニューマン、カート・ゼイレンガ、クリス・ロンヴィック、ピーター・セント・アンドレ、バリー・レイバ、クリス・リッドによって提供されたフィードバックを感謝して認めています。

5. Normative References

5. 引用文献

[AUTHPASS] Zeilenga, K., "LDAP Authentication Password Schema", RFC 3112, May 2001.

[AuthPass] Zeilenga、K。、「LDAP認証パスワードスキーマ」、RFC 3112、2001年5月。

[BASE64] Josefsson, S., "The Base16, Base32, and Base64 Data Encodings", RFC 4648, October 2006.

[Base64] Josefsson、S。、「Base16、Base32、およびBase64 Data Encodings」、RFC 4648、2006年10月。

[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.

[RFC2119] Bradner、S。、「要件レベルを示すためにRFCで使用するためのキーワード」、BCP 14、RFC 2119、1997年3月。

[RFC4422] Melnikov, A. and K. Zeilenga, "Simple Authentication and Security Layer (SASL)", RFC 4422, June 2006.

[RFC4422] Melnikov、A。およびK. Zeilenga、「Simple Authentication and Security Layer（SASL）」、RFC 4422、2006年6月。

[RFC5234] Crocker, D. and P. Overell, "Augmented BNF for Syntax Specifications: ABNF", STD 68, RFC 5234, January 2008.

[RFC5234] Crocker、D。およびP. Overell、「構文仕様のためのBNFの増強：ABNF」、STD 68、RFC 5234、2008年1月。

[SCRAM] Menon-Sen, A., Newman, C., Melnikov, A., and N. Williams, "Salted Challenge Response Authentication Message (SCRAM) SASL Mechanisms", RFC 5802, July 2010.

[SCRAM] Menon-Sen、A.、Newman、C.、Melnikov、A。、およびN. Williams、「Salted Challenge Response認証メッセージ（SCRAM）SASLメカニズム」、RFC 5802、2010年7月。

Author's Address

著者の連絡先

Alexey Melnikov Isode Limited 5 Castle Business Village 36 Station Road Hampton, Middlesex TW12 2BX UK

Alexey Melnikov Isode Limited 5 Castle Business Village 36 Station Road Hampton、Middlesex TW12 2BX UK

   EMail: alexey.melnikov@isode.com
   URI:   http://www.melnikov.ca/