キーユーティリティ

IKE プロトコルは、IPv4 アドレスの自動キーユーティリティです。IKE の設定方法については、第 21 章「インターネットキー交換」 を参照してください。 手動でキーを操作するユーティリティには、ipseckey(1M) コマンドがあります。

ipseckey コマンドを使用して、ipsecah(7P) と ipsecesp(7P) の保護機構で SA データベースを手動で操作できます。 また、自動キー管理が無効な場合に、通信パーティ間の SA をセットアップするときも、ipseckey コマンドを使用します。例としては、IPv6 アドレスを持つ通信パーティ間が挙げられます。

ipseckey コマンドには少数の一般オプションしかありませんが、多くのコマンド言語をサポートしています。マニュアルキー操作に固有のプログラムインタフェースで要求を配信するように指定することもできます。詳細については、pf_key(7P) のマニュアルページを参照してください。引数なしで ipseckey を呼び出すと、対話モードになり、エントリを入力できるプロンプトが表示されます。コマンドによっては、明示的なセキュリティアソシエーション (SA) タイプが必要ですが、それ以外は、ユーザーが SA を指定すれば、すべての SA タイプで動作します。

セキュリティについて

ipseckey コマンド使用すると、特権ユーザーは微妙な暗号キー情報を入力できます。 場合によっては、不正にこの情報にアクセスして IPsec トラフィックのセキュリティを損なうことも可能です。キー情報を扱う場合および ipseckey コマンドを使用する場合には、次のことに注意してください。

1. キー情報を更新しているかどうか。定期的にキーを更新することが、セキュリティの基本作業となります。キーを変更することで、アルゴリズムとキーの脆弱性が暴かれないように保護し、公開されたキーの侵害を制限します。

2. TTY がネットワークに接続されているか (対話モードになっているか)。

   • TTY が対話モードの場合、キー情報のセキュリティは、TTY のトラフィックに対応するネットワークパスのセキュリティになります。 clear-text telnet や rlogin セッションでは、ipseckey コマンドを使用しないでください。

   • ローカルウィンドウでも、ウィンドウを読み取ることのできる隠密プログラムからの攻撃には無防備です。

3. ファイルがネットワーク経由でアクセス状態にあるか、または外部から読み取り可能な状態になっているか (-f オプション)。

   • ネットワークマウントファイルの読み取り時に、不正に読み取ることができます。外部から読み取れるファイルにキー情報を保存して使用しないでください。

   • ネットワークで参照できるホストがソースアドレスで、指定システム自体の安全性に問題がある場合、使用される名前は信用できません。

セキュリティの弱点は、ツール自体ではなく、ツールの使用方法にあります。ipseckey コマンドを使用するときには注意が必要です。各操作の最も安全なモードでコンソールを使用するか、ハード接続の TTY を使用してください。