Interstage Application Server セキュリティシステム運用ガイド

1.2.4.2 通信内容の書き換え、暴露

リポジトリサーバと認証サーバ間では、ユーザを認証するための情報がやりとりされ、その内容にはユーザのパスワードや認証方式などが含まれています。この内容が書き換えられることは、不当な認証結果を引き起こすことになります。また、通信内容からパスワードを搾取されるとそのユーザに成りすまされることになります。

これらの脅威に対しては、通信内容を暗号化することで対処できます。通信内容は、サービスIDを元にした共通暗号により行います。暗号にはTriple-DESを使用しているため、総当り攻撃による解読は現実的に不可能と言えます。

　認証サーバはクライアントに基本認証を促し、ユーザからユーザ名とパスワードを受け取ります。また、認証に成功したユーザには認証情報を通知します。これらはセキュリティ上重要な情報であり、攻撃者に内容が暴露されることは脅威です。

これらの脅威に対しては、通信内容を暗号化することで対処できます。具体的には認証サーバとクライアント間をSSL通信としています。