6. Вопросы безопасности
Данная спецификация не связана с вопросами безопасности за исключением тех, которые рассмотрены в спецификациях SASL, OTP и расширенных откликов OTP [RFC2243]. Краткое повторение этих вопросов приводится ниже.
Данный механизм не обеспечивает конфиденциальности сессий, аутентификации серверов и защиты от активных атак.
Данный механизм может быть подвергнут пассивным атак с использованием словаря. Для снижения вероятности успеха таких атак следует правильно выбирать парольные фразы.
Аутентификационная база данных сервера, требуемая для использования с OTP не должна содержать открытого текста или его эквивалентов.
Реализация сервера должна быть защищена от race-атак [RFC2289].
7. Поддержка символов других языков
Удаленный доступ является важным сервером и пользователей следует побуждать к применению в именах и парольных фразах только символов US-ASCII. Однако, если в именах или парольных фразах присутствуют символы, отличные от US-ASCII, их следует интерпретировать в соответствии с кодировкой UTF-8 [RFC2279].
Серверам, поддерживающим дополнительные словари, настоятель рекомендуется разрешать использование формата six-word со словами отличных от английского языков.
8. Согласование с IANA
Here is the registration template for the OTP SASL mechanism:
- SASL mechanism name: OTP
- Security Considerations: See section 6 of this memo
- Published specification: this memo
- Person & email address to contact for futher information: see author's address section below
- Intended usage: COMMON
- Author/Change controller: see author's address section below
This memo also amends the SKEY SASL mechanism registration [RFC2222] by changing its intended usage to OBSOLETE.
9. Литература
| [RFC2244] | Newman, C. и J. Myers, «ACAP — Application Configuration Access Protocol», RFC 2244, Ноябрь 1997. |
| [RFC2195] | Klensin, J., Catoe, R. и P. Krumviede, «IMAP/POP AUTHorize Extension for Simple Challenge/Response», RFC 2195, Сентябрь 1997. |
| [RFC2060] | M. Crispin, «Протокол IMAP v.4, rev.1», RFC 2060, Декабрь 1996. |
| [RFC2119] | Scott Bradner, «Ключевые слова для обозначения уровня требований в RFC», RFC 2119, Март 1997. |
| [RFC2251] | Wahl, M., Howes, T. и S. Kille, «Lightweight Directory Access Protocol (v3)», RFC 2251, Декабрь 1997. |
| [RFC1321] | R. Rivest, «Алгоритм цифровых подписей MD5», RFC 1321, Апрель 1992. |
| [RFC2289] | Haller, N., Metz, C., Nesser, P. и M. Straw, «A One-Time Password System», RFC 2289, Февраль 1998. |
| [RFC2243] | Metz, C., «OTP Extended Responses», RFC 2243, Ноябрь 1997. |
| [RFC1734] | Myers, J., «POP3 AUTHentication command», RFC 1734, Декабрь 1994. |
| [RFC2222] | Myers, J., «Simple Authentication and Security Layer (SASL)», RFC 2222, October 1997. |
| [RFC2279] | Yergeau, F., «UTF-8, a transformation format of ISO 10646», RFC 2279, Январь 1998. |
10. Адрес автора
Chris Newman
Innosoft International, Inc.
1050 Lakes Drive
West Covina, CA 91790 USA
EMail: moc.tfosonni@namwen.sirhc