セキュリティ

パブリックキーの値の比較
認証中に交換されるユーザー証明書とサーバー証明書の署名は常にチェックされます。証明書で渡されるキーの値を IBM(R) Lotus Domino(R) ディレクトリ内にリストされているキーの値と照合することによって、パブリックキーに対して追加的な照合を行うことができます。ユーザーがサーバーで認証されても、証明書の中のパブリックキーの値と Domino ディレクトリ内にリストされている値が一致しないことがあり得ます。

追加的なキー照合によって、失われたり改ざんされた ID ファイルの不正使用を防止できます。通常、ID ファイルを失った場合、新規の ID ファイルおよびディレクトリエントリを作成するためにその所有者を登録する必要があり、また ID ファイルが改ざんされた場合は、所有者のパブリックキーおよびプライベートキーをロールオーバーし、その新規のキーセットを認証する必要があります (それによってディレクトリエントリが更新されます)。ディレクトリレベルのキーチェック機能を有効にすることによって、古い ID ファイルを所有している攻撃者は、その古い ID ファイルに有効な証明書が含まれている場合でも、そのファイルを使用してサーバーにアクセスできなくなります。

また、認証が成功しても不一致が検出された場合、ログメッセージを生成するかどうかコントロールすることを選択できます。これによって、管理者は、ID ファイルの内容がディレクトリエントリと一致しなくなった場合にそれを検出できます。その場合でも、パブリックキーの不一致が原因でこれらのユーザーが認証できなくなることはありません。

詳しくは、「パブリックキーのセキュリティ」を参照してください。

1 Lotus Domino Administrator で、[設定] タブをクリックし、サーバー文書を開きます。

2 [セキュリティ] タブをクリックします。

3 [セキュリティ設定] セクションの [パブリックキーの比較] フィールドのドロップダウンリストをクリックし、次のいずれかのオプションを選択します。

4 [セキュリティ設定] セクションの [パブリックキー不一致の記録] フィールドのドロップダウンリストをクリックし、次のいずれかのオプションを選択します。 5 サーバーをシャットダウンして再起動すると、変更内容が有効になります。サーバーは、1 時間おきにポーリングを行って、これらの設定が変更されたかどうかを確認します。そのため、サーバーが再起動されていない場合、新規の設定が有効になるまでに最長で 1 時間かかることがあります。