1. データベース・セキュリティ・ガイド
  2. ネットワーク上のデータの保護
  3. Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13 Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

サーバーとクライアントの両方について、Oracle Net Services固有のデータ暗号化およびデータ整合性を構成できます。

親トピック: ネットワーク上のデータの保護

13.1 Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

Oracle Databaseでは、ネットワークで送信されるデータを暗号化できます。

  • Oracle Databaseのネイティブ・ネットワーク暗号化と整合性の仕組み
    Oracle Databaseは、ネットワーク間を移動するデータが保護されるように、ネイティブ・データ・ネットワークの暗号化および整合性を提供します。
  • Advanced Encryption Standard
    Oracle Databaseでは、米国連邦情報処理標準(FIPS)暗号化アルゴリズムであるAdvanced Encryption Standard (AES)がサポートされています。
  • ARIA
    Oracle DatabaseはAcademia, Research Institute, and Agency (ARIA)アルゴリズムをサポートしています。
  • GOST
    Oracle Databaseは、GOsudarstvennyy STandart (GOST)アルゴリズムをサポートしています。
  • SEED
    Oracle Databaseは、韓国情報保護振興院(KISA)の暗号化アルゴリズム、SEEDをサポートしています。
  • Triple-DES暗号化
    Triple-DES (3DES)暗号化は、DESアルゴリズムにメッセージ・データを3回渡して暗号化します。
  • ネイティブ・ネットワーク暗号化とTransport Layer Securityの間の選択
    Oracleには、ネットワーク上のデータを暗号化する方法として、ネイティブ・ネットワーク暗号化とTransport Layer Security (TLS)の2つがあります。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13.1.1 Oracle Databaseのネイティブ・ネットワーク暗号化と整合性の仕組み

Oracle Databaseは、ネットワーク間を移動するデータが保護されるように、ネイティブ・データ・ネットワークの暗号化および整合性を提供します。

セキュアな暗号システムの目的は、キーに基づいて、平文データを解読不能な暗号文に変換することです。正しいキーがなければ、暗号文を元の平文に変換することはきわめて困難(計算上は不可能)です。

対称暗号システムでは、同じデータの暗号化と復号化の両方に同じキーを使用します。Oracle Databaseは、Advanced Encryption Standard (AES)の対称暗号システムを提供して、Oracle Net Servicesトラフィックの機密保護を図ります。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.1.2 Advanced Encryption Standard

Oracle Databaseでは、米国連邦情報処理標準(FIPS)暗号化アルゴリズムであるAdvanced Encryption Standard (AES)がサポートされています。

AESは、ネットワーク上で機密データを保護するために、あらゆる米国政府組織および企業で使用できます。この暗号化アルゴリズムでは、128ビット、192ビットおよび256ビットの3つの標準のキーの長さが定義されています。いずれのバージョンも、外部暗号ブロック連鎖(CBC)モードで稼働します。暗号化メソッドの1つ。先行するすべてのブロックに依存する暗号ブロックの暗号化を行い、ブロック再生攻撃からデータを保護します。無許可の復号化が段階的に困難になるように設計されています。Oracle Databaseでは、外部暗号ブロック連鎖が使用されています。これは、内部暗号ブロックよりも安全性が高く、実質的なパフォーマンスの低下を伴わないためです。

ノート:

AESアルゴリズムが改善されました。より強力なアルゴリズムを使用するようにOracle Database環境を移行するには、My Oracle Supportノート2118136.2で説明されているパッチをダウンロードしてインストールします。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.1.3 ARIA

Oracle DatabaseはAcademia, Research Institute, and Agency (ARIA)アルゴリズムをサポートしています。

これはアルゴリズム設計に当たった韓国の研究者たちの共同の取組みを認めたものです。

ARIAでは、128ビット、192ビットおよび256ビットの3つの標準のキーの長さが定義されています。いずれのバージョンも、外部暗号暗号ブロック連鎖(CBC)モードで動作します。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.1.4 GOST

Oracle Databaseは、GOsudarstvennyy STandart (GOST)アルゴリズムをサポートしています。

GOSTアルゴリズムは、Euro-Asian Council for Standardization, Metrology and Certification (EACS)によって作成されました。

GOSTでは、256ビットのキー・サイズが定義されています。Oracle Databaseでは、外部暗号ブロック連鎖(CBC)モードが使用されます。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.1.5 SEED

Oracle Databaseは、韓国情報保護振興院(KISA)の暗号化アルゴリズム、SEEDをサポートしています。

SEEDでは、128ビットのキー・サイズが定義されています。標準に対する拡張として192ビットおよび256ビットの追加のキー・サイズを定義したものもありますが、Oracle Databaseではこれらの拡張はサポートされません。Oracle Databaseでは、SEEDは外部暗号ブロック連鎖(CBC)モードで動作します。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.1.6 Triple-DES暗号化

Triple-DES (3DES)暗号化は、DESアルゴリズムにメッセージ・データを3回渡して暗号化します。

ノート:

このリリースでは、DES、DES40、3DES112および3DES168アルゴリズムは非推奨です。より強力なアルゴリズムを使用するようにOracle Database環境を移行するには、My Oracle Supportノート2118136.2で説明されているパッチをダウンロードしてインストールします。

3DESは高度なメッセージ・セキュリティを提供しますが、パフォーマンスの低下を伴います。パフォーマンス低下の度合いは、暗号化を実行するプロセッサの速度によって異なります。3DESは、標準のDESアルゴリズムに比べ、データ・ブロックの暗号化に通常3倍の時間を要します。

3DESには2つのキーを使用するバージョンと3つのキーを使用するバージョンがあり、それぞれ有効なキーの長さは112ビットと168ビットです。いずれのバージョンも外部暗号ブロック連鎖(CBC)モードで稼働します。

Oracle DatabaseおよびSecure Network Servicesで利用可能なDES40アルゴリズムは、秘密キーを事前処理することによって有効キー・ビットを40とするDESの一種です。米国の輸出法が厳しかったときに米国およびカナダ以外の顧客を対象にDESベースの暗号化を提供する目的で設計されました。DES40、DESおよび3DESはすべて輸出のために使用できます。DES40は、海外顧客向けに下位互換性を維持するために引き続きサポートされています。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.1.7 ネイティブ・ネットワーク暗号化とTransport Layer Securityの間の選択

Oracleには、ネットワーク上のデータを暗号化する方法として、ネイティブ・ネットワーク暗号化とTransport Layer Security (TLS)の2つがあります。

どちらの方法にもメリットとデメリットがあります。

表13-1 ネイティブ・ネットワーク暗号化とTransport Layer Securityの比較

- ネイティブ・ネットワーク暗号化 Transport Layer Security

メリット
  • sqlnet.ora構成ファイル内のパラメータで構成されます。
  • ほとんどの場合、クライアント構成の変更は必要ありません。
  • 証明書は必要ありません。
  • ネイティブ・ネットワーク暗号化をサポートしていないクライアントは、非互換性が緩和されている間、暗号化されていない接続に戻ることができます。
  • 移動中のデータを暗号化するための業界標準です。
  • 第三者攻撃を防ぐために、サーバー接続に対する否認防止を提供します。
  • データベース・ユーザー認証に使用できます。

デメリット
  • 非標準のOracle独自の実装を使用します。
  • サーバー接続の否認防止を提供しません(つまり、第三者攻撃に対する保護なし)。
  • クライアントおよびサーバーの変更が必要です。
  • 証明書はサーバーでは必要であり、クライアントではオプションです。ただし、クライアントには、サーバーの証明書を発行した認証局のトラステッド・ルート証明書が必要です。
  • 証明書は最終的に失効します。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性について

13.2 Oracle Databaseのネイティブ・ネットワーク暗号化のデータ整合性

ネットワーク・データを暗号化すると、ネットワーク上で転送される平文データを不正なユーザーが閲覧できなくなり、データのプライバシが保護されます。

また、Oracle Databaseでは、2つの形態の攻撃からデータを保護できます。

表13-2に、これらの攻撃についての情報を示します。

表13-2 ネットワーク攻撃の2つの形態

攻撃形態 説明

データ変更攻撃

データ変更攻撃とは、不正なユーザーが転送中のデータを傍受し、データを変更して再転送することです。たとえば、銀行への$100の預入れを傍受して、金額を$10,000に変更し、その水増し金額を再転送することをデータ変更攻撃といいます。

再生攻撃

再生攻撃とは、有効なデータ全体を反復的に再送することです。たとえば、銀行からの$100の払戻しを傍受し、その払戻しを10回再転送して、最終的に$1,000受け取るといった攻撃です。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13.3 ネイティブ・ネットワーク暗号化のセキュリティの向上

Oracleでは、Oracle Databaseサーバーとクライアントの両方のネイティブ・ネットワーク暗号化のセキュリティを強化するパッチを提供しています。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13.3.1 ネイティブ・ネットワーク暗号化のセキュリティの向上について

Oracleのこのパッチは、暗号化アルゴリズムおよびチェックサム・アルゴリズムを更新し、脆弱な暗号化アルゴリズムおよびチェックサム・アルゴリズムを非推奨にします。

このパッチは、My Oracle Supportノート2118136.2からダウンロードでき、サーバーとクライアントとの接続を強化し、ネイティブ・ネットワーク暗号化アルゴリズムおよびチェックサム・アルゴリズムの脆弱性を修正します。これにより、安全性の低い古い暗号化アルゴリズムおよびチェックサム・アルゴリズムの無効化が容易になる2つのパラメータが追加されます。このパッチをOracle Databaseサーバーおよびクライアントに適用することをお薦めします。

このパッチは、Oracle Databaseリリース11.2以降に適用されます。このパッチは、スタンドアロン、マルチテナント、プライマリ・スタンバイ、Oracle Real Application Clusters (Oracle RAC)、およびデータベース・リンクを使用する環境に適用できます。

改善されたサポート対象アルゴリズムは次のとおりです。

  • 暗号化アルゴリズム: AES128、AES192およびAES256
  • チェックサム・アルゴリズム: SHA1、SHA256、SHA384およびSHA512

非推奨であり、パッチ適用後に使用をお薦めしていない脆弱なアルゴリズムは、次のとおりです。

  • 暗号化アルゴリズム: DES、DES40、3DES112、3DES168、RC4_40、RC4_56、RC4_128およびRC4_256
  • チェックサム・アルゴリズム: MD5

実行する一般的な手順としては、まず、Oracle Database環境におけるサポート対象外アルゴリズムへの参照をサポート対象アルゴリズムに置換し、サーバーにパッチを適用し、クライアントにパッチを適用し、最後に、サーバーとクライアントとの正しい接続が再度有効になるようにsqlnet.oraのパラメータを設定します。

このパッチは次の領域に影響を与えますが、これらに限定されるわけではありません。

  • JDBCネットワーク暗号化関連の構成設定
  • Oracle Net Managerを使用して構成した暗号化パラメータおよび整合性パラメータ
  • Secure Sockets Layer (SSL)のSSL_CIPHER_SUITEパラメータ設定
  • SecureFiles LOBの暗号化列
  • データベース常駐接続プーリング(DRCP)の構成
  • Oracle Call Interface (Oracle OCI)、ODP.NETの構成に使用される暗号化設定

関連トピック

親トピック: ネイティブ・ネットワーク暗号化のセキュリティの向上

13.3.2 ネイティブ・ネットワーク暗号化へのセキュリティ改善更新の適用

Oracle Databaseサーバーおよびクライアントにパッチを適用することに加え、サーバーおよびクライアントのsqlnet.oraのパラメータを設定する必要があります。

次のステップは、次に示す順序で実行してください。
  1. パッチをインストールするサーバーとクライアントをバックアップします。
  2. My Oracle Supportにログインし、My Oracle Supportノート2118136.2で説明されているパッチをダウンロードします。
    My Oracle Supportは、次のURLにあります。

    https://support.oracle.com

  3. サーバーにパッチを適用します。
    My Oracle Supportノート2118136.2の手順に従って、サーバーにパッチを適用します。後述のステップで、同じパッチをクライアントに適用します。
  4. クライアントにパッチを適用します。

    パッチを適用する必要があるクライアントを決定します。

    My Oracle Supportノート2118136.2の手順に従って、各クライアントにパッチを適用します。

  5. 各クライアントのsqlnet.oraファイル内で、非推奨になったアルゴリズムが定義されている場合は、それらのアルゴリズムをすべて削除します。
    次のパラメータが定義されていないか、アルゴリズムがリストされていない場合は、このステップを省略できます。
    • SQLNET.ENCRYPTION_TYPES_CLIENT
    • SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT
  6. サーバーのsqlnet.oraファイル内で、非推奨になったアルゴリズムが定義されている場合は、それらのアルゴリズムをすべて削除します。
    次のパラメータが定義されていないか、アルゴリズムがリストされていない場合は、このステップを省略できます。
    • SQLNET.ENCRYPTION_TYPES_SERVER
    • SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER
  7. サーバー上のセキュリティを最大限に高めるには、sqlnet.oraの次のパラメータを設定します。
    • SQLNET.ENCRYPTION_SERVER = REQUIRED
    • SQLNET.ENCRYPTION_TYPES_SERVER = (AES256)
    • SQLNET.CRYPTO_CHECKSUM_SERVER = REQUIRED
    • SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER = (SHA512)
    • SQLNET.ALLOW_WEAK_CRYPTO_CLIENTS = FALSE
  8. クライアント上のセキュリティを最大限に高めるには、sqlnet.oraの次のパラメータを設定します。
    • SQLNET.ENCRYPTION_CLIENT = REQUIRED
    • SQLNET.ENCRYPTION_TYPES_CLIENT = (AES256)
    • SQLNET.CRYPTO_CHECKSUM_CLIENT = REQUIRED
    • SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT = (SHA512)
    • SQLNET.ALLOW_WEAK_CRYPTO = FALSE
  9. 各クライアントのsqlnet.oraファイル内で、ステップ5および6に従って、非推奨のアルゴリズムをすべてサーバーおよびクライアントから削除し、クライアントがパッチ未適用のサーバーと通信できないように、パラメータSQLNET.ALLOW_WEAK_CRYPTO = FALSEを設定します。
    SQLNET.ALLOW_WEAK_CRYPTOパラメータがFALSEに設定されている場合、脆弱なアルゴリズムの使用をクライアントが試みると、サーバーでORA-12269: クライアントで脆弱な暗号化/暗号チェックサム・バージョンが使用されていますというエラーが発生します。脆弱なアルゴリズムを使用しているサーバー(またはプロキシ)に接続しているクライアントは、ORA-12268: サーバーで脆弱な暗号化/暗号チェックサム・バージョンが使用されていますというエラーを受信します。
  10. サーバーのsqlnet.oraファイルで、ステップ9に従って、SQLNET.ALLOW_WEAK_CRYPTO = FALSEのすべてのクライアントを更新した後、パラメータSQLNET.ALLOW_WEAK_CRYPTO_CLIENTS = FALSEを設定します。このパラメータにより、パッチ適用済のサーバーがパッチ未適用のクライアントと通信できないようにします。

    SQLNET.ALLOW_WEAK_CRYPTOパラメータがFALSEに設定されている場合、脆弱なアルゴリズムの使用をクライアントが試みると、サーバーでORA-12269: クライアントで脆弱な暗号化/暗号チェックサム・バージョンが使用されていますというエラーが発生します。脆弱なアルゴリズムを使用しているサーバー(またはプロキシ)に接続しているクライアントは、ORA-12268: サーバーで脆弱な暗号化/暗号チェックサム・バージョンが使用されていますというエラーを受信します。

    データベース・リンクを使用すると、最初のデータベース・サーバーはクライアントとして機能し、2番目のサーバーに接続します。したがって、SQLNET.ALLOW_WEAK_CRYPTOをFALSEに設定する前に、すべてのサーバーに完全にパッチが適用され、サポートされていないアルゴリズムが削除されていることを確認してください。

親トピック: ネイティブ・ネットワーク暗号化のセキュリティの向上

13.4 データの整合性アルゴリズムのサポート

キーで順序付けられたMessage Digest 5 (MD5)アルゴリズムまたはSecure Hash Algorithm (SHA-1およびSHA-2)を使用して、これらの攻撃からデータを保護できます。

ノート:

MD5は、このリリースでは非推奨です。より強力なアルゴリズムを使用するようにOracle Database環境を移行するには、My Oracle Supportノート2118136.2で説明されているパッチをダウンロードしてインストールします。

いずれのハッシュ・アルゴリズムでも、データがなんらかの方法で変更された場合に変わるチェックサムを作成します。この保護機能は暗号化プロセスとは独立して動作するため、暗号化の有無に関係なくデータ整合性を保つことができます。

関連トピック

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13.5 Diffie-Hellmanベースのキー交換

Diffie-Hellmanキー交換アルゴリズムを使用して、マルチユーザー環境でデータを保護できます。

マルチユーザー環境では、安全なキーを配布することは困難です。Oracle Databaseでは、一般的なDiffie-Hellmanキー交換アルゴリズムを使用して、暗号化およびデータ整合性の両面において安全なキーの配布を実現します。

暗号化を使用して暗号データを保護するときは、キーを頻繁に変更して、キーの安全性が損なわれた場合の影響を最小限に抑える必要があります。そのため、Oracle Databaseのキー管理機能では、セッションごとにセッション・キーが変更されます。

クライアントとサーバーは、Diffie-Hellmanによって生成されるセッション・キーを使用して通信を開始します。サーバーに対するクライアントの認証時に、両者のみが認識する共有秘密鍵が確立されます。Oracle Databaseでは、その共有秘密キーとDiffie-Hellmanセッション・キーを組み合せることで、介在者攻撃を阻止するためのさらに強力なセッション・キーを生成します。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13.6 データの暗号化および整合性の構成

Oracle Database固有のOracle Net Servicesによる暗号化および整合性は、Oracle Net Servicesがインストール済であることを前提としています。

親トピック: Oracle Databaseのネイティブ・ネットワーク暗号化とデータ整合性の構成

13.6.1 暗号化および整合性のアクティブ化について

どのネットワーク接続でも、クライアントとサーバーの両方が複数の暗号化アルゴリズムと複数の整合性アルゴリズムをサポートできます。

接続が確立されるときに、sqlnet.oraファイルで指定されているアルゴリズムの中から、使用するアルゴリズムをサーバーが選択します。サーバーは、クライアントとサーバーの両方で使用できるアルゴリズム間で一致するものを検索し、サーバー側のリストで最初にあって、クライアント側のリストにも出現するアルゴリズムを選択します。接続の一方の側がアルゴリズム・リストを指定していない場合、その側でインストールされているすべてのアルゴリズムを使用できます。いずれかの側でインストールされていないアルゴリズムを指定すると、エラー・メッセージORA-12650が表示され、接続が失敗します。

暗号化パラメータと整合性パラメータを定義するには、ネットワーク上のクライアントとサーバーのsqlnet.oraファイルを変更します。

利用可能な暗号化アルゴリズムの一部またはすべて、および利用可能な整合性アルゴリズムの一方または両方を構成できます。各接続セッションに使用できるのは、1つの暗号化アルゴリズムと1つの整合性アルゴリズムのみです。

ノート:

Oracle Databaseでは、クライアントとサーバーで利用可能なアルゴリズムのうち、最初の暗号化アルゴリズムと最初の整合性アルゴリズムが自動的に選択されます。ネゴシエーションの優先順にアルゴリズムとキーの長さを選択することをお薦めします(つまり、最も強力なキーの長さを最初に選択します)。

関連項目:

親トピック: データの暗号化および整合性の構成

13.6.2 暗号化および整合性のネゴシエーションについて

データの暗号化および整合性を使用するシステム上のsqlnet.oraファイルには、REJECTED、ACCEPTED、REQUESTED、REQUIREDパラメータの一部またはすべてが含まれている必要があります。

親トピック: データの暗号化および整合性の構成

13.6.2.1 暗号化および整合性のネゴシエーションの値について

Oracle Net Managerを使用して、暗号化と整合性の構成パラメータに4つの値を指定できます。

次の4つの値はセキュリティの低い順で記載されています。暗号化および整合性を使用しているシステムのクライアントとサーバーのプロファイル・ファイル(sqlnet.ora)でこれらを使用する必要があります。

値REJECTEDは、クライアントとサーバーの間の通信に最小レベルのセキュリティを提供し、値REQUIREDは、最高レベルのネットワーク・セキュリティを提供します。

  • REJECTED

  • ACCEPTED

  • REQUESTED

  • REQUIRED

各パラメータのデフォルト値はACCEPTEDです。

Oracle Databaseサーバーおよびクライアントは、デフォルトではACCEPT暗号化接続に設定されます。これは、接続の片側のみ(サーバー側またはクライアント側)を構成するだけで、接続ペアに対して目的の暗号化および整合性設定を有効化できることを意味します。

したがって、たとえば、数多くのOracleクライアントがOracleデータベースに接続する場合も、サーバー側でsqlnet.oraに適切な変更を加えることによって、すべての接続に対して必要な暗号化および整合性設定を構成できます。クライアントごとに個別に構成の変更を実装する必要はありません。

表13-3に、クライアントとサーバーの構成パラメータを各種組み合せたときに、セキュリティ・サービスが有効化されるかどうかを示します。サーバーまたはクライアントでREQUIREDが指定されている場合は、共通のアルゴリズムが存在しないと、接続が失敗します 。それ以外の場合は、サービスが有効化されていて、共通のサービス・アルゴリズムが存在しないと、サービスが無効化されます。

表13-3 暗号化とデータ整合性のネゴシエーション

クライアントの設定 サーバーの設定 暗号化とデータのネゴシエーション

REJECTED

REJECTED

OFF

ACCEPTED

REJECTED

OFF

REQUESTED

REJECTED

OFF

REQUIRED

REJECTED

接続失敗

REJECTED

ACCEPTED

OFF

ACCEPTED

ACCEPTED

OFF脚注1

REQUESTED

ACCEPTED

ON

REQUIRED

ACCEPTED

ON

REJECTED

REQUESTED

OFF

ACCEPTED

REQUESTED

ON

REQUESTED

REQUESTED

ON

REQUIRED

REQUESTED

ON

REJECTED

REQUIRED

接続失敗

ACCEPTED

REQUIRED

ON

REQUESTED

REQUIRED

ON

REQUIRED

REQUIRED

ON

脚注1

この値のデフォルトはOFFです。ユーザーがOracle Net Managerを使用するか、sqlnet.oraファイルを変更することによってこのパラメータを変更しないかぎり、暗号化とデータ整合性は有効化されません。

13.6.2.2 REJECTED構成パラメータ

REJECTED値は、他方が要求している場合でも、セキュリティ・サービスを無効にします。

このシナリオでは、セキュリティ・サービスの使用が許可されないことを接続元で指定します。接続先がREQUIREDに設定されている場合、エラー・メッセージORA-12650が表示されて接続が終了します。接続先がREQUESTED、ACCEPTEDまたはREJECTEDに設定されている場合、エラーは発生せずに、セキュリティ・サービスが無効のまま接続が継続されます。

13.6.2.3 ACCEPTED構成パラメータ

ACCEPTED値は、他方が必要としている場合または要求している場合に、セキュリティ・サービスを有効にします。

このシナリオでは、接続元からはセキュリティ・サービスを要求しませんが、接続先がREQUIREDまたはREQUESTEDに設定されている場合は、セキュリティ・サービスが有効化されます。接続先がREQUIREDまたはREQUESTEDに設定されていて、該当する暗号化アルゴリズムまたは整合性アルゴリズムが見つかると、エラーは発生せずに、セキュリティ・サービスが有効のまま接続が継続されます。接続先がREQUIREDに設定されていて、該当するアルゴリズムが見つからない場合、エラー・メッセージORA-12650が表示されて接続が終了します。

接続先がREQUESTEDに設定されていて、該当するアルゴリズムが見つからない場合、または接続先がACCEPTEDまたはREJECTEDに設定されている場合、エラーは発生せずに、セキュリティ・サービスが無効のまま接続が継続されます。

13.6.2.4 REQUESTED構成パラメータ

REQUESTED値は、他方が許可している場合にセキュリティ・サービスを有効にします。

このシナリオでは、接続元がセキュリティ・サービスの使用を希望します(必須ではない)。接続先でACCEPTED、REQUESTEDまたはREQUIREDが指定されている場合、セキュリティ・サービスが有効化されます。接続先に該当するアルゴリズムがある必要があります。見つからない場合、セキュリティ・サービスは有効化されません。接続先でREQUIREDが指定されていて、該当するアルゴリズムが見つからない場合、接続は失敗します 。

13.6.2.5 REQUIRED構成パラメータ

REQUIRED値は、セキュリティ・サービスを有効にする、または接続を禁止します。

このシナリオでは、接続元がセキュリティ・サービスの有効化を強制します。接続先でREJECTEDが指定されている場合、または接続先に互換性のあるアルゴリズムが見つからない場合、接続は失敗します。

13.6.3 Oracle Net Managerを使用した暗号化および整合性パラメータの構成

Oracle Net Managerを使用して、暗号化および整合性パラメータを設定または変更できます。

親トピック: データの暗号化および整合性の構成

13.6.3.1 クライアントとサーバーでの暗号化の構成

クライアントとサーバーで暗号化を構成するには、Oracle Net Managerを使用します。

  1. Oracle Net Managerを起動します。

    • (UNIX) $ORACLE_HOME/binから、コマンドラインで次のコマンドを入力します。 

      netmgr

    • (Windows)「スタート」→「プログラム」→「Oracle - HOME_NAME」→「Configuration and Migration Tools」→「Net Manager」を選択します。

  2. 「Oracle Netの構成」を展開し、「ローカル」から「プロファイル」を選択します。
  3. 「ネーミング」リストから、「ネットワーク・セキュリティ」を選択します。

    ネットワーク・セキュリティのタブ付きウィンドウが表示されます。

  4. 「暗号化」タブを選択します。
  5. 「暗号化」ボックスからCLIENTまたはSERVERオプションを選択します。
  6. 「暗号化タイプ」リストから、次のいずれかを選択します。

    • REQUESTED

    • REQUIRED

    • ACCEPTED

    • REJECTED

  7. (オプション)「暗号化シード」フィールドに、10から70字のランダムな文字を入力します。クライアントの暗号化シードは、サーバーの暗号化シードとは別のものにします。
  8. 「使用可能なメソッド」リストで暗号化アルゴリズムを選択します。右矢印(>)を選択して「選択メソッド」リストに移動します。追加の方式を使用する場合は、それぞれ同じ手順を繰り返します。
  9. 「ファイル」→「ネットワーク構成の保存」を選択します。sqlnet.oraファイルが更新されます。
  10. 同じ手順を繰り返して、もう一方のシステムで暗号化を構成します。2つのシステムのsqlnet.oraファイルに、次のエントリが含まれている必要があります。

    • サーバー:

      SQLNET.ENCRYPTION_SERVER = [accepted | rejected | requested | required]
SQLNET.ENCRYPTION_TYPES_SERVER = (valid_encryption_algorithm [,valid_encryption_algorithm])
      
                                    
    • 
                                       
      クライアント:
      SQLNET.ENCRYPTION_CLIENT = [accepted | rejected | requested | required]
SQLNET.ENCRYPTION_TYPES_CLIENT = (valid_encryption_algorithm [,valid_encryption_algorithm])

      • 
                                 
    
                              
    
                           
    11. 
                        

                        

                           
表13-4に、有効な暗号化アルゴリズムと対応する有効な値を示します。
                           

                           

                              
表13-4 有効な暗号化アルゴリズム

                              

                                 
                                    

                                       アルゴリズム名
                                       有効な値
                                    

                                 
                                 
                                    

                                       
                                          
AES 256ビット・キー

                                       		
                                       
                                          
AES256

                                       		
                                    

                                    

                                       
                                          
AES 192ビット・キー

                                       		
                                       
                                          
AES192

                                       		
                                    

                                    

                                       
                                          
AES 128ビット・キー

                                       		
                                       
                                          
AES128

                                       		
                                    

                                 
                              

                           

                           
                        

                        
                     

                     
                     
                  
13.6.3.2 クライアントとサーバーでの整合性の構成
                     

                     

                        
Oracle Net Managerを使用して、クライアントとサーバーの両方でネットワーク整合性を構成できます。

                        
    
                           
  1. Oracle Net Managerを起動します。
    
                                 
      
                                    
    • 
                                       
      (UNIX) $ORACLE_HOME/binから、コマンドラインで次のコマンドを入力します。
                                       
      netmgr

      • 
                                    
    • 
                                       
      (Windows)「スタート」→「プログラム」→「Oracle - HOME_NAME」→「Configuration and Migration Tools」→「Net Manager」を選択します。
                                       
      
                                    
      • 
                                 
    
                              
    
                           
    2. 
                           
  2. 「Oracle Netの構成」を展開し、「ローカル」から「プロファイル」を選択します。
    3. 
                           
  3. 「ネーミング」リストから、「ネットワーク・セキュリティ」を選択します。
    
                                 
    ネットワーク・セキュリティのタブ付きウィンドウが表示されます。
    
                              
    
                           
    4. 
                           
  4. 「整合性」タブを選択します。
                           
    5. 
                           
  5. いずれのシステムを構成しているかに応じて、「整合性」ボックスから「サーバー」または「クライアント」を選択します。 
    6. 
                           
  6. 「チェックサム・レベル」リストから、次のチェックサム・レベル値のいずれかを選択します。 
    
                                 
      
                                    
    • 
                                       
      REQUESTED
      
                                    
      • 
                                    
    • 
                                       
      REQUIRED
      
                                    
      • 
                                    
    • 
                                       
      ACCEPTED
      
                                    
      • 
                                    
    • 
                                       
      REJECTED
      
                                    
      • 
                                 
    
                              
    
                           
    7. 
                           
  7. 「使用可能なメソッド」リストで整合性アルゴリズムを選択します。右矢印(>)を選択して「選択メソッド」リストに移動します。追加の方式を使用する場合は、それぞれ同じ手順を繰り返します。
    8. 
                           
  8. 「ファイル」→「ネットワーク構成の保存」を選択します。 
    
                                 
    sqlnet.oraファイルが更新されます。
                                 
    
                              
    
                           
    9. 
                           
  9. 同じ手順を繰り返して、もう一方のシステムで整合性を構成します。 
    
                                 
    2つのシステムのsqlnet.oraファイルに、次のエントリが含まれている必要があります。
                                 
    
                                 
      
                                    
    • 
                                       
      サーバー:
      SQLNET.CRYPTO_CHECKSUM_SERVER = [accepted | rejected | requested | required]
SQLNET.CRYPTO_CHECKSUM_TYPES_SERVER = (valid_crypto_checksum_algorithm [,valid_crypto_checksum_algorithm])

      • 
                                    
    • 
                                       
      クライアント:
      SQLNET.CRYPTO_CHECKSUM_CLIENT = [accepted | rejected | requested | required]
SQLNET.CRYPTO_CHECKSUM_TYPES_CLIENT = (valid_crypto_checksum_algorithm [,valid_crypto_checksum_algorithm])

      • 
                                 
    
                              
    
                           
    10. 
                        

                        

                           
ユーザーが使用できる有効な整合性/チェックサムアルゴリズムは次のとおりです。

                           
    
                              
  • SHA1
    • 
                              
  • SHA256
    • 
                              
  • SHA384
    • 
                              
  • SHA512
    •