RFC: 2444
Оригинал: The One-Time-Password SASL Mechanism
Категория: Предложенный стандарт
Дата публикации:
Автор:
Перевод: Николай Малых

RFC 2444, Страница 5 из 5

6. Вопросы безопасности

Данная спецификация не связана с вопросами безопасности за исключением тех, которые рассмотрены в спецификациях SASL, OTP и расширенных откликов OTP [RFC2243]. Краткое повторение этих вопросов приводится ниже.

Данный механизм не обеспечивает конфиденциальности сессий, аутентификации серверов и защиты от активных атак.

Данный механизм может быть подвергнут пассивным атак с использованием словаря. Для снижения вероятности успеха таких атак следует правильно выбирать парольные фразы.

Аутентификационная база данных сервера, требуемая для использования с OTP не должна содержать открытого текста или его эквивалентов.

Реализация сервера должна быть защищена от race-атак [RFC2289].

7. Поддержка символов других языков

Удаленный доступ является важным сервером и пользователей следует побуждать к применению в именах и парольных фразах только символов US-ASCII. Однако, если в именах или парольных фразах присутствуют символы, отличные от US-ASCII, их следует интерпретировать в соответствии с кодировкой UTF-8 [RFC2279].

Серверам, поддерживающим дополнительные словари, настоятель рекомендуется разрешать использование формата six-word со словами отличных от английского языков.

8. Согласование с IANA

Here is the registration template for the OTP SASL mechanism:

  • SASL mechanism name: OTP
  • Security Considerations: See section 6 of this memo
  • Published specification: this memo
  • Person & email address to contact for futher information: see author's address section below
  • Intended usage: COMMON
  • Author/Change controller: see author's address section below

This memo also amends the SKEY SASL mechanism registration [RFC2222] by changing its intended usage to OBSOLETE.

9. Литература

[RFC2244]Newman, C. и J. Myers, «ACAP — Application Configuration Access Protocol», RFC 2244, Ноябрь 1997.
[RFC2195]Klensin, J., Catoe, R. и P. Krumviede, «IMAP/POP AUTHorize Extension for Simple Challenge/Response», RFC 2195, Сентябрь 1997.
[RFC2060]M. Crispin, «Протокол IMAP v.4, rev. 1», RFC 2060, Декабрь 1996.
[RFC2119]Scott Bradner, «Ключевые слова для обозначения уровня требований в RFC», RFC 2119, Март 1997.
[RFC2251]Wahl, M., Howes, T. и S. Kille, «Lightweight Directory Access Protocol (v3)», RFC 2251, Декабрь 1997.
[RFC1321]R. Rivest, «Алгоритм цифровых подписей MD5», RFC 1321, Апрель 1992.
[RFC2289]Haller, N., Metz, C., Nesser, P. и M. Straw, «A One-Time Password System», RFC 2289, Февраль 1998.
[RFC2243]Metz, C., «OTP Extended Responses», RFC 2243, Ноябрь 1997.
[RFC1734]Myers, J., «POP3 AUTHentication command», RFC 1734, Декабрь 1994.
[RFC2222]Myers, J., «Simple Authentication and Security Layer (SASL)», RFC 2222, October 1997.
[RFC2279]Yergeau, F., «UTF-8, a transformation format of ISO 10646», RFC 2279, Январь 1998.

10. Адрес автора

Chris Newman
Innosoft International, Inc.
1050 Lakes Drive
West Covina, CA 91790 USA
EMail: moc.tfosonni@namwen.sirhc

Страница 5 из 5

2007 - 2017 © Русские переводы RFC, IETF, ISOC.