Ident について

Ident とは？

接続したサーバーのユーザー情報について、付加的な情報を返すためのサーバー。 RFC1413 に仕様が定められている。なお、参考のための情報以上のものは返されないので、注意すること。

以下、RFC1413 からの出典です。

『Identification Protocol は、認証やアクセス制御プロトコルを意図するものではない。それはたかだか、TCP 接続に関する追加的な監査情報を提供するだけである。最悪の場合、誤解を招く、不正確な、あるいは有害な情報を提供する可能性がある。

このプロトコロから返された情報を監査以外の目的に使用してはならない。特に、Identification Protocol の情報を、一時的な手段 (つまり他のチェック方法を使用しない) であれ補足的な手段であれ、アクセス制御の判断に使用すると、ホストセキュリティの低下を招く危険性がある。』

参考となるドキュメント

RFC1413

Free の Ident サーバープログラム

pidentd-2.7.4

Sendmail と Ident

sendmail-8.x では、デフォルトの設定では接続要求したサーバーに対して ident の情報を返すように要求するような設定になっている。

ここでもし、sendmail が ident を要求したとき、その途中の経路上のルーターで ident の 113 ポートへのアクセスを拒否するような packet filtering の設定を行っている場合、 filtering で発行しているエラーの種類と sendmail の動作しているマシンのインプリメントの組み合わせによっては、メールの送信が行えなくなる場合がある。(次項参照)

また、実際問題として ident の設定を行っているサーバーはかなり少ないため、ほとんど使われていない (= 無駄なパケットが発生している) と言える。そのため、sendmail では ident を使用しない設定を行った方がいいだろう。

sendmail が ident 要求をしないように設定するには、以下の設定のいずれかを行えばよい。

sendmail.cf に
```
Orident=0
```
を追加する。 sendmail-8.7.x 以降の V6/Berkeley config file format の場合は、
```
O Timeout.ident=0
```
を追加するのでもよい。
CF を利用して sendmail.cf を作成している場合、
```
READ_TIMEOUT='ident=0'
```
を追加する。 sendmail-8.7.x 以降の V6/Berkeley config file format の場合は、 sendmail.def に
```
TIMEOUT_IDENT='0'
```
を追加するのでもよい。
sendmail の起動時に -orident=0 オプションを付けて起動する。
sendmail-8.x をコンパイルして使う場合、該当する Makefile の ENVDEF に -DIDENTPROTO=0 を追加してからコンパイルする。

Packet filetering と Ident

ICMP の destination unreach には次のようなものがある。

net unreachable
host unreachable
protocol unreachable
port unreachable
fragmentation needed and DF set
source route failed

そのため、ident (113番ポート) に対する filtering の設定には次のものが考えられる。

ICMP host unreachable を返す
ICMP port unreachable を返す
何も返さない
TCP RST を返す
素通しする

ICMP host unreachable を返す場合、あるホストとの通信で port unreach が発生するとそのホストとの TCP connection がすべてエラーとなって、すでに connection が確立されていた sendmail の通信も同時に途絶えてしまう。

port unreachable を返す場合は、最近のマシンでは問題ないが、 4.3BSD tahoe のような古い TCP/IP の実装では protocol unreach や port unreach という概念がないため、あるホストとの通信で port unreach が発生すると、 ICMP host unreachable を返す場合と同様、そのホストとの TCP connection がすべてエラーになってしまい、すでに connection が確立されていた sendmail の通信も同時に途絶えてしまう。

また、無応答であると sendmail が timeout を待つので，時間がかかります。

もし、ルーターが TCP RST を返せるようになっていれば、これを設定することで以上の問題は発生しませんが、現在のところこの設定を行うこがルーターはほとんどありません。 (少なくてもCisco ではできません。) ただし、Firewall-1 では TCP RST を返しますので、この設定を行なえばいいでしょう。

以上のように、ident に対して packet filtering を行っていると、メールの受信に問題をきたす場合があるので、現状では ident 要求は素通しするのが無難かもしれません。

sendmail 以外に Ident を利用するプログラム

Apache
httpd.conf で
```
IdentityCheck on
```
とした場合
NCSA httpd
httpd.conf で
```
IdentityCheck On
```
とした場合
CERN httpd
httpd.conf で
```
IdentityCheck on
```
とした場合
TCP_Wrappers(tcpd)
Makefile 中で
```
AUTH    = -DALWAYS_RFC931
```
とした場合

参考文献

UNIX Magazine 1995年12月号山本和彦著
「転ばぬ先のセキュリティ 20 －防火壁の構築(2)」

Last modified: Mon Jan 4 15:21:25 1999