보안 인터넷 비밀번호

인터넷 비밀번호 잠금을 사용하여 관리자는 Domino® 웹 및 Domino® Web Access 사용자에 대한 인터넷 비밀번호 인증 실패의 임계값을 설정할 수 있습니다. 이렇게 하면 사전 설정된 횟수 내에 로그인하지 못하는 사용자를 잠궈 사용자 인터넷 계정을 통한 brute force 및 사전 공격을 방지할 수 있습니다. 인증 실패 및 잠금에 대한 내용은 인터넷 잠금 애플리케이션에서 유지관리되며, 관리자는 이 애플리케이션에서 오류를 제거하고 사용자 계정을 잠금 해제할 수 있습니다.

이 기능은 DoS(Denial of Service) 공격에 따라 달라집니다. DoS 공격은 악의적인 사용자가 명시적으로 합법적인 서비스 사용자가 해당 서비스를 사용하는 것을 차단하는 것입니다. 인터넷 비밀번호 잠금의 경우, 합법적인 인터넷 사용자가 의도적으로 로그인 시도를 실패하게 만드는 공격자로 인해 Domino® 서버에 로그인하지 못할 수 있습니다.

인터넷 비밀번호 잠금 사용에 대한 몇 가지 제한 사항이 있습니다.

• 웹 액세스로만 인터넷 비밀번호 잠금을 사용할 수 있습니다. 기타 인터넷 프로토콜 및 서비스(LDAP, POP, IMAP, DIIOP, HCLSametime®)는 현재 지원되지 않습니다. 그러나 인증을 위해 사용된 비밀번호가 LDAP 서버에 저장된 경우에는 웹 액세스를 위해 인터넷 비밀번호 잠금을 사용할 수 있습니다.
• DSAPI 필터는 Notes/Domino 인증을 건너뛸 수 있는 방법이므로, 사용자 정의 DSAPI 필터가 사용 중인 경우 인터넷 잠금 기능을 활용할 수 없습니다.

또한 싱글 사인온의 경우, 인터넷 비밀번호 잠금 기능이 사용 가능으로 설정된 Domino® 서버도 싱글 사인온 키를 발행하는 서버여야 합니다. 이 키가 다른 소스(다른 Domino® 서버 또는 WebSphere® 서버)에서 검색되면, 인터넷 비밀번호 잠금을 사용할 수 있는지 여부와 상관없이 SSO 토큰은 항상 Domino® 서버에서 유효합니다.

인터넷 잠금 데이터베이스(inetlockout.nsf)는 다음 두 가지 상황 중 하나의 경우 inetlockout.ntf 템플리트에서 작성됩니다.

• 인터넷 잠금 기능이 사용 가능으로 설정된 경우 시작하는 중에
• 잠금 데이터베이스를 처음 보거나 쓰기 작업을 수행해야 하는 경우. 이 때 다시 시작할 필요는 없지만, 기능이 사용 가능으로 설정된 시간부터 잠금 데이터베이스가 열리거나 작성되는 시간까지 10분이 경과해야 합니다.

기본적으로, 인터넷 잠금 데이터베이스 ACL을 사용하여 관리자는 관리 그룹에만 액세스할 수 있습니다. 기본값 및 익명 액세스는 거부됩니다. 그러나 데이터베이스 ACL을 수정하여 사용자 및 그룹에 사용자 보기 및 잠금 해제 권한을 제공할 수 있습니다.

인터넷 이름 및 비밀번호를 사용하여 Domino®Domino에 로그인을 시도하는 각 사용자의 경우, 실패한 횟수 및 잠금 상태를 포함하여 잠금 상태에 대한 정보가 인터넷 잠금 데이터베이스에서 유지됩니다. 사용자가 이미 잠금되었거나 성공적으로 로그인한 경우 잠금 시도는 잠금 데이터베이스에 기록되지 않습니다. 그러나 인터넷 잠금 데이터베이스가 잠금 상태 정보를 유지하는 반면, DDM(Domino® Domain Manager)은 로그인 실패 및 잠금 히스토리 정보가 유지되는 위치로, 로그인 실패 횟수의 이전 레코드를 제공합니다.

인터넷 잠금 데이터베이스에 저장되어 있는 사용자의 변경된 액세스 권한 정보는 즉시 구현됩니다. 변경사항을 적용하기 위해 HTTP 서버를 다시 시작할 필요가 없습니다.

잠금 데이터베이스에는 다음 두 가지 보기가 있습니다.

• 실패한 비밀번호 시도에 대한 임계값을 초과하여 자신의 인터넷 이름 및 비밀번호로 서버에 로그인할 수 없는 사용자에 대한 레코드를 포함하는 잠긴 사용자
• 실패한 인증 횟수를 표시하여 사용자에 대한 레코드를 포함하는 로그인 실패.

두 보기에 대해 다음 필드는 동일합니다.

• 서버 이름 - 사용자가 잠겨 있거나 인증 시도를 실패한 서버
• 사용자 이름 - 잠긴 사용자 또는 실패한 인증 횟수를 기록한 사용자의 이름
• 잠김 - 로그인 실패 보기에서 이 값은 [예] 또는 [아니요]이며, 잠긴 사용자 보기에서는 [예]로 설정됩니다.
• 실패한 횟수 - 각 사용자의 현재 실패한 인증 횟수를 표시합니다. 잠긴 사용자 보기에서 이 값은 임계값 설정과 동일해야 합니다.
• 첫번째 실패 시간 - 첫번째 인증 실패의 날짜 및 시간을 표시합니다.
• 마지막 실패 시간 - 마지막 인증 실패의 날짜 및 시간을 표시합니다. 이것은 사용자가 잠기게 된 시간일 수도 있습니다. 사용자가 잠기고 다시 시도하면 이 시간은 업데이트되지 않습니다.

레코드를 삭제하여 사용자를 잠금 해제합니다.

도구 모음에서 삭제/잠금 해제 표시를 클릭하여 잠금 해제 또는 삭제할 여러 레코드를 표시한 후, 표시한 항목 삭제를 클릭하여 레코드를 삭제할 수 있습니다.

인터넷 잠금 데이터베이스에 유효한 사용자의 레코드만 들어 있는지 주기적으로 확인하는 것이 좋습니다. 이름을 변경한 사용자 또는 Domino® 서버의 사용자로 제거한 사용자의 이름을 제거합니다. 데이터베이스를 자동 정리하지 않습니다. 사용자 레코드는 날짜가 지나더라도 기능 문제를 발생시키지 않지만, 데이터베이스에 레코드가 너무 많으면 인터넷 인증 성능이 저하될 수 있습니다.

사용자에게 잠길 수 있음을 알리기 위해 사용 가능한 인터넷 잠금 데이터베이스에 대한 사용자 정의 로그인 양식을 작성할 수 있습니다.

관리자는 인터넷 잠금 데이터베이스를 다른 서버에 복제하는 것이 사용자에게 유용한지 여부를 판단해야 합니다. 데이터베이스를 복제할 경우 주요 이점은 잠금 정보가 여러 서버에 복제된다는 것입니다. 인터넷 비밀번호 잠금이 사용 가능으로 설정된 각 서버에서 인터넷 잠금 데이터베이스를 열 필요 없이 여러 서버에서 모든 복제본을 살펴보고 사용자의 잠금 상태를 확인할 수 있습니다.

그러나 복제의 경우 네트워크가 공격을 받거나 DoS 공격이 발생할 경우 복제 폭풍(replication storm)이 발생할 수 있다는 단점이 있습니다. 또한 복제 속도가 느릴 경우 지정된 서버의 잠금 데이터베이스를 확인하는 사용자는 복제가 발생할 때까지 사용자가 잠겨 있음을 알 수 있습니다. 그러나 항상 해당 서버에서 직접 복제본을 열 수 있습니다.

도메인에서 인터넷 비밀번호 잠금이 사용 가능으로 설정된 서버의 복제본에 대해 동일하게 유지되는 복제본 ID로 인터넷 잠금 데이터베이스를 만듭니다. 기본적으로 인터넷 잠금 데이터베이스에 대해 복제는 일시적으로 사용 불가능하게 됩니다. 이것은 앞에서 설명한 복제 폭풍을 방지하기 위한 것입니다. 데이터베이스를 다른 서버에 복제하려면 [복제 설정] 대화 상자의 [기타] 섹션에서 [임시로 복제를 금지함] 설정을 해제하십시오. 그런 다음 복제할 데이터베이스를 설정할 수 있습니다(예약 또는 클러스터된 복제).

서버 환경 설정 문서에서 인터넷 비밀번호 잠금을 사용 가능으로 설정합니다. 이렇게 설정하면 관리자가 여러 서버에서 인터넷 잠금 기능을 켤 수 있습니다.

서버 문서 옵션 상위 보안을 가진 더 적은 이름 변화형을 선택하는 것이 좋습니다. 이렇게 하면 모호한 이름의 문제가 최소화됩니다. 단축명이 디렉토리에서 두 명 이상의 사용자와 일치할 수 있지만, Domino®는 약식 사용자 이름으로 웹 서버에 로그인하는 것을 지원합니다(비밀번호가 올바른 경우). 로그인을 시도 중인 사용자가 누구인지 알릴 방법이 없기 때문에, 사용자가 부적합한 이름을 입력할 때 로그인이 올바르지 않으면 각 부적합한 이름이 실패합니다. 더욱이, 사용자 이름 및 비밀번호가 완전히 일치하는 사용자에 대해서만 잠금 만료 설정을 사용하여 실패 횟수를 삭제할 수 있습니다.