RFC 5803 - Lightweight Directory Access Protocol (LDAP) Schema for Storing Salted Challenge Response Authentication Mechanism (SCRAM) Secrets 日本語訳

URL : https://tools.ietf.org/html/rfc5803
タイトル : RFC 5803 - 塩漬けチャレンジレスポンス認証メカニズムを格納するためのLDAP（Lightweight Directory Access Protocol）スキーマ（SCRAM）の秘密
翻訳編集 : 自動生成

Internet Engineering Task Force (IETF)                       A. Melnikov
Request for Comments: 5803                                 Isode Limited
Category: Informational                                        July 2010
ISSN: 2070-1721

Lightweight Directory Access Protocol (LDAP) Schema for Storing Salted Challenge Response Authentication Mechanism (SCRAM) Secrets

塩漬けチャレンジレスポンス認証メカニズムを格納するためのLDAP（Lightweight Directory Access Protocol）スキーマ（SCRAM）の秘密

Abstract

抽象

This memo describes how the "authPassword" Lightweight Directory Access Protocol (LDAP) attribute can be used for storing secrets used by the Salted Challenge Response Authentication Message (SCRAM) mechanism in the Simple Authentication and Security Layer (SASL) framework.

このメモは、「authPasswordと」LDAP（Lightweight Directory Access Protocol）の属性は、簡易認証セキュリティー層（SASL）の枠組みに塩漬けチャレンジレスポンス認証メッセージ（SCRAM）メカニズムによって使用される秘密を保存するために使用することができる方法を説明します。

Status of This Memo

このメモのステータス

This document is not an Internet Standards Track specification; it is published for informational purposes.

このドキュメントはインターネット標準化過程仕様ではありません。それは、情報提供の目的のために公開されています。

This document is a product of the Internet Engineering Task Force (IETF). It represents the consensus of the IETF community. It has received public review and has been approved for publication by the Internet Engineering Steering Group (IESG). Not all documents approved by the IESG are a candidate for any level of Internet Standard; see Section 2 of RFC 5741.

このドキュメントはインターネットエンジニアリングタスクフォース（IETF）の製品です。これは、IETFコミュニティの総意を表しています。これは、公開レビューを受けており、インターネットエンジニアリング運営グループ（IESG）によって公表のために承認されています。 IESGによって承認されていないすべての文書がインターネットStandardのどんなレベルの候補です。 RFC 5741のセクション2を参照してください。

Information about the current status of this document, any errata, and how to provide feedback on it may be obtained at http://www.rfc-editor.org/info/rfc5803.

このドキュメントの現在の状態、任意の正誤表、そしてどのようにフィードバックを提供するための情報がhttp://www.rfc-editor.org/info/rfc5803で取得することができます。

著作権表示

著作権（C）2010 IETF信託とドキュメントの作成者として特定の人物。全著作権所有。

This document is subject to BCP 78 and the IETF Trust's Legal Provisions Relating to IETF Documents (http://trustee.ietf.org/license-info) in effect on the date of publication of this document. Please review these documents carefully, as they describe your rights and restrictions with respect to this document. Code Components extracted from this document must include Simplified BSD License text as described in Section 4.e of the Trust Legal Provisions and are provided without warranty as described in the Simplified BSD License.

この文書では、BCP 78と、この文書の発行日に有効なIETFドキュメント（http://trustee.ietf.org/license-info）に関連IETFトラストの法律の規定に従うものとします。彼らは、この文書に関してあなたの権利と制限を説明するように、慎重にこれらの文書を確認してください。コードコンポーネントは、トラスト法規定のセクションで説明4.eおよび簡体BSDライセンスで説明したように、保証なしで提供されているよう簡体BSDライセンスのテキストを含める必要があり、この文書から抽出されました。

Table of Contents

   1. Overview ........................................................2
   2. Conventions Used in This Document ...............................3
   3. Security Considerations .........................................3
   4. Acknowledgements ................................................4
   5. Normative References ............................................4

1. Overview

1。概要

This document describes how the authPassword LDAP attribute [AUTHPASS] can be used for storing secrets used by [SCRAM] Simple Authentication and Security Layer [RFC4422] Mechanisms.

この文書では、authPasswordとLDAP属性が[AUTHPASS] [SCRAM]簡易認証セキュリティー層[RFC4422]メカニズムによって使用される秘密を保存するために使用することができる方法を説明します。

The "scheme" part of the authPassword attribute is the SCRAM mechanism name (always without the "-PLUS" suffix), e.g., "SCRAM-SHA-1". See [SCRAM] for the exact syntax of SCRAM mechanism names.

authPassword属性の「スキーム」部分は（常に「-Plus」サフィックスなし）SCRAM機構名、例えば、「SCRAM-SHA-1」です。スクラム・メカニズム名の正確な構文については、[SCRAM]を参照してください。

The "authInfo" part of the authPassword attribute is the iteration count (iter-count in the ABNF below), followed by ":" and base64- encoded [BASE64] salt.

「：」とbase64-符号化[BASE64]塩をauthPassword属性の「AUTHINFO」部分は、反復カウント、続いて（以下ABNFでITERカウント）です。

The "authValue" part of the authPassword attribute is the base64- encoded [BASE64] StoredKey [SCRAM], followed by ":" and base64- encoded [BASE64] ServerKey [SCRAM].

"：" とbase64-符号化[BASE64]サーバキー[SCRAM]をauthPassword属性の "authValue" 部分は、続いてbase64-コードされる[BASE64] StoredKey [SCRAM]、です。

Syntax of the attribute can be expressed using ABNF [RFC5234]. Non-terminal references in the following ABNF are defined in either [AUTHPASS], [RFC4422], or [RFC5234].

属性の構文は、ABNF [RFC5234]を使用して発現させることができます。以下ABNFにおける非末端の参考文献は、[AUTHPASS]、[RFC4422]、または[RFC5234]のいずれかに定義されています。

       scram-mech     = "SCRAM-SHA-1" / scram-mech-ext
                      ; Complies with ABNF for <scheme>
                      ; defined in [AUTHPASS].

scram-authInfo = iter-count ":" salt ; Complies with ABNF for <authInfo> ; defined in [AUTHPASS].

スクラムAUTHINFO = ITERカウント「：」塩; <AUTHINFO>のためのABNFに準拠しています。【AUTHPASS]で定義されます。

scram-authValue = stored-key ":" server-key ; Complies with ABNF for <authValue> ; defined in [AUTHPASS].

authValue-スクラム=キーを保存「：」サーバーキー。 <authValue>のためのABNFに準拠しています。【AUTHPASS]で定義されます。

iter-count = %x31-39 *DIGIT ; SCRAM iteration count. ; A positive number without leading zeros.

ITERカウント=％のx31-39 * DIGIT。 SCRAM反復回数。 ;先行ゼロなしの正の数。

salt = <base64-encoded value> stored-key = <base64-encoded value> ; See definition in [SCRAM].

塩= <base64エンコード値>記憶されたキー= <base64エンコード値>。 [SCRAM]で定義を参照してください。

server-key = <base64-encoded value> ; See definition in [SCRAM].

サーバ・キー= <base64エンコード値>。 [SCRAM]で定義を参照してください。

scram-mech-ext = "SCRAM-" 1*9mech-char ; Other SCRAM mechanisms registered ; in the IANA registry for SASL ; mechanism names.

スクラムメカ-extは= "SCRAM-" 1 * 9mech-CHAR。登録された他のSCRAMメカニズム。 SASLのためのIANAレジストリに。メカニズム名。

mech-char = <Defined in RFC 4422>

<RFC 4422で定義され>メカ-CHAR =

Note that the authPassword attribute is multivalued. For example, it may contain multiple SCRAM hashes for different hashing algorithms.

authPasswordと属性が多値ていることに注意してください。例えば、異なるハッシュアルゴリズムのための複数のSCRAMハッシュを含んでいてもよいです。

2. Conventions Used in This Document

この文書で使用される2.表記

The key words "MUST", "MUST NOT", "REQUIRED", "SHALL", "SHALL NOT", "SHOULD", "SHOULD NOT", "RECOMMENDED", "MAY", and "OPTIONAL" in this document are to be interpreted as described in [RFC2119].

この文書のキーワード "MUST"、 "MUST NOT"、 "REQUIRED"、、、、 "べきではない" "べきである" "ないもの" "ものとし"、 "推奨"、 "MAY"、および "OPTIONAL" はあります[RFC2119]に記載されているように解釈されます。

3. Security Considerations

3.セキュリティの考慮事項

This document defines how the authPassword attribute can be used to store SCRAM secrets. Therefore, security considerations relevant to [SCRAM] and hash functions used with it are also relevant to this document.

この文書では、authPasswordと属性がスクラムの秘密を格納するために使用することができる方法を定義します。したがって、[SCRAM]に関連するセキュリティ上の考慮事項とそれに使用されるハッシュ関数も、このドキュメントに関連しています。

General security considerations related to the authPassword attribute (as specified in [AUTHPASS]) also apply to the use of authPassword as specified in this document. In particular, the values of authPassword SHOULD be protected as if they were cleartext passwords. A read operation on this attribute that is not protected by a privacy layer (such as IPsec or TLS) can expose this attribute to an attacker who a) would be able to use the intercepted value to impersonate the user to all servers providing SCRAM access using the same hash function, password, iteration count, and salt or b) would be able to perform an offline dictionary or brute-force attack in order to recover the user's password.

この文書で指定されている（[AUTHPASS]で指定）をauthPassword属性に関連する一般的なセキュリティ上の配慮もauthPasswordとの使用に適用されます。彼らは平文パスワードであるかのように、特に、authPasswordとの値が保護されなければなりません。（このようにIPsecやTLSなど）のプライバシー層によって保護されていないこの属性の読み取り操作は、A）を使用してSCRAMへのアクセスを提供するすべてのサーバーにユーザーを偽装するために傍受された値を使用することができるだろう、攻撃者にこの属性を公開することができます同じハッシュ関数、パスワード、繰り返し回数、および塩またはb）は、ユーザーのパスワードを回復するために、オフライン辞書やブルートフォース攻撃を実行することができるだろう。

Servers MUST validate the format of the authPassword attribute before using it for performing a SCRAM authentication exchange. It is possible that an attacker compromised the LDAP server or got access to the entry containing the attribute in order to exploit a vulnerability in the subsystem performing the SCRAM authentication exchange. Big iteration counts and invalid base64 encoding are two possible (but not the only) exploits in the format specified in the document.

サーバーは、スクラムの認証交換を実行するためにそれを使用する前にをauthPassword属性の形式を検証しなければなりません。攻撃者がLDAPサーバーを侵害し又はスクラムの認証交換を実行するサブシステムの脆弱性を悪用するために、属性を含むエントリへのアクセス権を持っている可能性があります。ビッグ反復回数と無効なbase64エンコーディングは、文書で指定された形式で悪用可能性（だけではなく）の2つです。

4. Acknowledgements

4.謝辞

The author gratefully acknowledges the feedback provided by Chris Newman, Kurt Zeilenga, Chris Lonvick, Peter Saint-Andre, Barry Leiba, and Chris Ridd.

作者は感謝クリス・ニューマン、クルトZeilenga、クリスLonvick、ピーター・サン・アンドレ、バリー・レイバ、そしてクリスRiddによって提供されるフィードバックを認めます。

5. Normative References

5.引用規格

[AUTHPASS] Zeilenga, K., "LDAP Authentication Password Schema", RFC 3112, May 2001.

[AUTHPASS] Zeilenga、K.、 "LDAP認証パスワードスキーマ"、RFC 3112、2001年5月。

[BASE64] Josefsson, S., "The Base16, Base32, and Base64 Data Encodings", RFC 4648, October 2006.

[BASE64] Josefsson氏、S.、 "Base16、Base32、およびBase64でデータエンコーディング"、RFC 4648、2006年10月。

[RFC2119] Bradner, S., "Key words for use in RFCs to Indicate Requirement Levels", BCP 14, RFC 2119, March 1997.

[RFC2119]ブラドナーの、S.、 "要件レベルを示すためにRFCsにおける使用のためのキーワード"、BCP 14、RFC 2119、1997年3月。

[RFC4422] Melnikov, A. and K. Zeilenga, "Simple Authentication and Security Layer (SASL)", RFC 4422, June 2006.

[RFC4422]メルニコフ、A.およびK. Zeilenga、 "簡易認証セキュリティー層（SASL）"、RFC 4422、2006年6月。

[RFC5234] Crocker, D. and P. Overell, "Augmented BNF for Syntax Specifications: ABNF", STD 68, RFC 5234, January 2008.

[RFC5234]クロッカー、D.、およびP. Overell、 "構文仕様のための増大しているBNF：ABNF"、STD 68、RFC 5234、2008年1月。

[SCRAM] Menon-Sen, A., Newman, C., Melnikov, A., and N. Williams, "Salted Challenge Response Authentication Message (SCRAM) SASL Mechanisms", RFC 5802, July 2010.

【SCRAM]メノンセン、A.、ニューマン、C.、メルニコフ、A.、およびN.ウィリアムズ、 "塩蔵チャレンジレスポンス認証メッセージ（SCRAM）SASLメカニズム"、RFC 5802、2010年7月。

Author's Address

著者のアドレス

Alexey Melnikov Isode Limited 5 Castle Business Village 36 Station Road Hampton, Middlesex TW12 2BX UK

アレクセイ・メルニコフISODE限定5キャッスルビジネス村の36の駅道ハンプトン、ミドルTW12 2BX英国

EMail: alexey.melnikov@isode.com URI: http://www.melnikov.ca/

電子メール：alexey.melnikov@isode.com URI：http://www.melnikov.ca/