維護網際網路密碼安全

網際網路密碼封鎖，讓管理員設定 Domino®網路及 Domino®網路Access 使用者的網際網路密碼鑑別失敗次數臨界值。封鎖任何無法在預先設定之嘗試次數內登入的使用者，有助於防止使用者網際網路帳戶受到暴力及字典式攻擊。有關鑑別失敗及封鎖的資訊是在「網際網路封鎖」應用程式中進行維護，管理員可在此分別清除失敗及解除鎖定使用者帳號。

請注意，此功能會受到拒絕服務 (DoS) 攻擊。DoS 攻擊，是惡意使用者明確阻止服務的合法使用者使用該項服務的一種手法。在網際網路密碼封鎖的情況下，合法的網際網路使用者會因攻擊者故意製造的登入失敗嘗試，而無法登入 Domino® 伺服器。

網際網路密碼封鎖的使用限制如下：

• 只有網路存取可以使用網際網路密碼封鎖。其他網際網路通訊協定及服務，如 LDAP、POP、IMAP、DIIOP 及 HCL Sametime® 目前都不受支援。但若用於鑑別的密碼儲存 在 LDAP 伺服器上，就可以對網路存取使用網際網路密碼封鎖。
• 若使用自訂的 DSAPI 過濾器，則可能無法發揮網際網路封鎖功能的威力，因為 DSAPI 過濾器是略過 Notes/Domino 鑑別的一種方法。

對於單一登入，已啟用網際網路密碼封鎖功能的 Domino® 伺服器，必須也同時是核發單一登入金鑰的伺服器。如果此金鑰擷取自另一個來源（另一個 Domino® 伺服器或 WebSphere® 伺服器），則無論是否啟用網際網路密碼封鎖，SSO 記號對 Domino® 伺服器會一律有效。

網際網路封鎖資料庫(inetlockout.nsf) 是從範本 inetlockout.ntf 以下列兩種狀況的其中一個進行建立：

• 啟動期間，若已啟用「網際網路鎖定功能」。
• 第一次必須查看或寫入封鎖資料庫時。這不需要重新啟動，但啟用功能的時間以及開啟或寫入封鎖資料庫的時間需間隔約十分鐘。

依預設，「網際網路封鎖」資料庫的 ACL 僅允許管理員存取「Admin 群組」。預設值及匿名皆為拒絕存取。但您可以修改資料庫ACL，讓使用者及群組能夠檢視及解除鎖定使用者。

至於每位嘗試使用網際網路名稱及密碼登入 Domino® 的使用者，封鎖狀態的相關資訊是在「網際網路封鎖」資料庫中進行維護，包括使用者名稱、失敗嘗試次數及封鎖狀態。使用者若已遭封鎖或已成功登入，封鎖資料庫中即不記錄封鎖嘗試。但當「網際網路封鎖」資料庫維護封鎖狀態資訊時，「Domino® 網域管理程式」(DDM) 是應維護登入失敗及封鎖歷程資訊的位置，可提供您登入失敗嘗試的歷程記錄。

「網際網路封鎖」資料庫的任何使用者存取資訊變更都會立即施行。您不必重新啟動 HTTP 伺服器，變更也會生效。

「封鎖」資料庫有兩個視圖：

• 「封鎖的使用者」，為密碼失敗嘗試數超過臨界值，現無法使用其網際網路名稱及密碼登入伺服器的使用者記錄。
• 「登入失敗」，為顯示鑑別失敗嘗試次數的使用者記錄。

兩個視圖的欄位都相同：

• 伺服器名稱 - 使用者遭封鎖或出現鑑別失敗嘗試的伺服器
• 使用者名稱 - 遭封鎖或有鑑別失敗嘗試記錄的使用者名稱
• 已封鎖 - 在「登入失敗」視圖中，此值可為「是」或「否」。在「封鎖的使用者」視圖中，此值設為「是」。
• 失敗次數 - 顯示每位使用者目前的鑑別失敗嘗試次數。在「封鎖的使用者」視圖中，此值應等於臨界值設定。
• 初次失敗時間 - 顯示第一次鑑別失敗的日期與時間
• 最後失敗時間 - 顯示最後一次鑑別失敗的日期與時間。此值也可能是使用者遭封鎖的時間。使用者如在遭封鎖後再次嘗試，此時間不會更新。

您要刪除記錄才能解除鎖定使用者。

您可以按一下工具列的「標記以刪除/解除鎖定」，標記多筆要解除鎖定或要刪除的記錄，然後按一下「刪除標記的項目」予以刪除。

建議您定期驗證「網際網路封鎖」資料庫是否只包含有效使用者的記錄。將使用者已變更名稱或已移除作為 Domino® 伺服器使用者的名稱移除。資料庫不會執行自動清除，雖然內含過時的使用者記錄不會造成功能問題，但資料庫中有過多記錄會降低網際網路鑑別效能。

您可以為「網際網路封鎖」資料庫自訂登入表單，用以通知可能遭封鎖的使用者。

身為管理員，您必須決定將「網際網路封鎖」資料庫抄寫到其他伺服器，對您是否有幫助。抄寫此資料庫的最大好處是，封鎖資訊會抄寫到多部伺服器。您可以查看任何抄本並決定多部伺服器的封鎖狀態，而不必開啟每部已啟用網際網路密碼鎖定之伺服器的「網際網路封鎖」資料庫。

但抄寫也有其不便之處，例如，網路若受到攻擊或發生拒絕服務攻擊，即會發生抄寫風暴。此外，如太慢執行抄寫，在指定伺服器上查看封鎖資料庫的任何人，可能在抄寫執行之前，都不知道某人已遭封鎖（不過，他們可以直接開啟有問題的伺服器抄本）。

「網際網路封鎖」資料庫是使用抄本 ID 所建立，網域中啟用網際網路密碼鎖定之所有伺服器的所有抄本都有相同的抄本 ID。「網際網路封鎖」資料庫預設暫時停用抄寫。這是為防止發生上文所述之抄寫風暴。若要將資料庫抄寫到其他伺服器，請停用「抄寫設定」對話框之「其他」區段的「暫時停用抄寫」選項。然後設定資料庫執行抄寫（排程或叢集抄寫）。

網際網路密碼封鎖要在伺服器的配置設定文件中啟用。這可讓管理員跨多部伺服器開啟「網際網路封鎖」功能。

建議啟用「伺服器」文件的「較少的名稱變更配合較高的安全性」選項。這可縮減歧義名稱的問題。Domino® 支援以短格式使用者名稱登入網路伺服器（若密碼正確），即使目錄中可能有兩人或多人符合此短名稱。當使用者輸入歧義名稱時而發生的不正確登入，會導致每個歧義比對失敗，因為無法分辨哪個使用者在嘗試登入。此外，只有使用者名稱及密碼配對成功的使用者，才會出現使用「鎖定到期日」設定來清除失敗嘗試的作業。