連載 lnside Cygwin 図 8 ユーサーへの権限俿档て ( 、 Vindows NT) パスワードが必要なことに変わりはない。 この兄か改善されたのは Cygwin DLL 1.3.2 からで ユ、但 ) 表示原則オフン 0 。ヘルア ( 印 五ザ - 名 りルネーム 翼説明 ある。これに貢献したのも Corinna だ。彼女は、 NT カー ネルのシステムコールである NtCreateToken を使って、 0 ト。メイン : = ーみ ( CH 旧ロ U - は 9 パスワードなしでユーサーを表すトークンを生成するガ去 ー利「マすミあご蔀言 : 〒禛討 = = 、、 = こニコ にこの権和 をみつけ、これを利用して UNIX の setuid をエミュレー サービスとしてロゲオン システムハつまーマンスのフ加万イル システムのシを外タつン ションするようにした。このおかげで、バージョン 1.3.2 鱇 以降では、 sshd や rlogind でパスワード以外の認証方法 第を高度なユ , サ廴利表示 を用いた場合でも、プロセスの権限を認証したユーサーに 図 9 ユーサーへの本郷艮の割当て ( 、 Vindows 2000 ) 変更できるようになっている。 、 Vindows NT/2000 の場合の注意事工頁 セキュリテ定 オータの増加 をミ」アガ ) ント和シー コンータとユ、 - サ - こ」 0 ーカル丿シ、 - サースとしログオ 3 第 第監査シー Cygwin DLL 1.3.2 で seteuid のエミュレーション をュ、ト物和第画サーヒスとし ( ログオをこ第 システムパフォーマこ 6 、・ を」セキュリティオプシミ ・朝公問キーの前わ′ー システムのシトダリ に成功したおかげで、 Cygwin と UNIX との差はかなり 第ローカコンビュ→ 0 システム時 ~ 変を、 スケラ 1 ンう優先服自 G2K 新せキュリティ監査の生 小さくなったが、依然として sshd や inetd を運用する際 当ディい朽サーどス ′デバイストラー 当トークンオプジ勦ト 新ドッキングステーシ身 の Cygwin 固有の注意事項はたくさんある。 ドメインの一クス ネットワーり経由で : 達加知ー ーバチジョブとし ( ロ : プロセスの径限の変更には SYSTEM 権限が必要 ハジョブとして口 ”ームのア環境を一甚レベゆ龕ル = イ朝定もされ号ま合は、、 0 、カル第ル - 定は上書ぎ フルとその他のオ " 』方イルとディトリ・璉 これまでに紹介してきたプロセスの権限の変更にかかわ る API は、 Administrator を含む普通のユーザーのプ ことができる。たとえば、パスワード認証を用いたプロセ ロセスでは実行できない。パスワードなしでトークンを生 スの権限の変更を普通のユーザーのプロセスで可能にする 成できる NtCreateToken は当然としても、パスワード には、以下の権限を与え川まよい。 を必要とする LogonUser にも同し制約がある。 ・オペレーティングシステムの一にとして機能 これらの API を実行できるのは、基本的には SYS- ・クオータの増加 TEM 権限で実行されているプロセスだけである。この条 プロセスレベルトークンの置き換え 件を満たすには、アフリケーションを Windows のサービ スとして実行しなけれはならない。この制約があるため、 これらの権限をユーザーに与える作業は、 Windows Cygwin の inetd や sshd をサービスとして実行しない NT であれば、ユーサーマネージャー " から、、原則 (P)" と、パスワード認証や権限の変更に失敗する。 →、、ユーザーのオリ ( U ) " で表示されるダイアログでおこ 逆にパスワード認証を使わす、かっ特定のユーサーでし なう ( 図 8 ) 。その際、、、高度なユーサーオリの表示 (S)" かログインしないのなら、そのユーサーが sshd や inetd をチェックしないと、上記の権限が表示されないので注意 を直接実行してもかまわない。この場合には、プロセスの してほしい。 Windows 2000 では、、、ローカルセキュリ 権限を変更する必要がないので、 SYSTEM 権限は不要と ティ " から、、、ローカルポリシー " →、、ユーザーオリの割 なる。このガ去には、前述した孑鬮以端末のセキュリティ り当て " を尺しておこなう ( 図 9 ) 。 ホールによって SYSTEM 権限を奪取される危険匪がな inetd や sshd をサーピスとして実行するのか嫌で、ユ くなるという利点もある。 ーザーの認証にはパスワードを使いたいのなら、この作業 をおこなえばよい。 SYSTEM 以外のユーサーてパスワード認証を使うには パスワード以外の認証方式では ntsec が要 普通のユーサーに SYSTEM 権限に含まれる権限の一 部を与えると、 SYSTEM 権限でないとプロセスの権限の これは seteuid の実装 - ヒの都合によるものだが、パスワ 変更にかかわる API を実行できないという制約を緩める ードなしでプロセスの権限を変更する、つまり NtCreate- コンびェ - タ / トッ C 切管理用化トインアカウント ) Adm ト tr を 0 「 1 ーナー常第源則 OK ー物ンセル ルア⑧ 追加 (A) ー 、、トインアント ) キらおル : セキ鑈静定 : 第ダ : : 0 さ ! 材呶第〒第ツュラト : 当とし一 オペレ”ティンをシステムの部として能 夛定。 = 帚 117 UNIX MAGAZINE 2001 ユ 1

連載 . /lnside Cygwin 図 6 、 Vindows におけるプロセスの権限の変更 HANDLE hToken; / * パスワード認証をおこないユーサーを表すトークンを得る * / hT0ken = LogonUser (username , NULL, passwd , LOGON32_LOGON_INTERACTIVE , LOGON32_PROVIDER_DEFAULT , &hToken) ) ; / * プロセスの権限をトークンの表すユーサーに変更する * / ImpersonateLoggedOnUser(hT0ken) ; そうする必要があるアプリケーションでは、プロセスの権 限が root かどうかを石忍して、そうでない場合は実行を 断念してしまう。 この確認は、 getuid か geteuid の返す UID を 0 と比 較することでおこなわれている。 Cygwin では UID が 0 であることに特別な意味はないので、どのアプリケーショ ンでも 95 / 98 / Me / NT / 2000 のすべてのプラットホーム について、この上交をおこなっている箇所にはなんらかの 対処が必になる。もちろん、 OpenSSH や inetutils に もこの種の検査か含まれているので、 Cygwin に移植する 際に実行されないようにしている。 Windows NT/2000 の場合 Windows NT / 2000 にはプロセスの権限の概念があ り、権限を他のユーサーに変更するための API が用意さ れている。ー勺な権限の変更には、 LogonUser と lm- personateLoggedOnUser という 2 つの API を用いる。 その使用例を図 6 に示す。他のユーザーの権限でアプリ ケーションを実行する場合には、 LogonUser で得たトー クンを指定して、 CreateProcessAsUser という API で アプリケーションを実行する。 図 6 の例にあるように、 LogonUser にはユーザー名と パスワードを渡さなけれはならないので、 UNIX の sete- uid のエミュレーションには利用できない。また、 Log- onUser は Windows のセキュリティアカウント・マネ ージャー (SAM) を用いて認証をおこなうため、 /etc/ passwd と crypt を使ったパスワード言正や、 rlogind や rshd での . rhosts を使った認証、 sshd のサポートするさ まざまな認証方式には対応できない。 Cygwin DLL 1.1.2 以前のだ兄 ノヾージョン 1.1.2 以前の CygwinDLL では、プロセス の権限の変更について、ほとんど何もサポートしていなか 116 図 7 Cygwin におけるプロセスの所有者の変更 HANDLE hToken ; struct passwd *pw ; / * パスワード認証をおこないユーサーを表すトークンを得る * / pw = getpwnam(username) ; hToken = cygwin—logon—user (pw, password) ; / * トークンをプロセステープルに格納 * / cygwin—set—impersonation—t0ken(hT0ken) ; / * 権限の変更 * / seteuid (pw->pw-uid) ; った。その当時に用意されていたのは、他のユーサーの権 限でアプリケーションを実行する sexec だけである。 exec の代わりに、最初の引数に LogonUser で得たトークンを 指定してこれを夫行すると、 CreateProcessAsUser でア プリケーションか実行される。 当時の OpenSSH や inetutils の移植では、 . パスワー ド認証と setuid をそれぞれ LogonUser と lmperson- ateLoggedOnUser に置き換えたり、 exec を sexec に 置き換えたりしていた。 LogonUser の仕様はいかんとも しがたかったので、 rshd や rlogind で . rhosts による認 証を用いたり、 sshd でパスワード以外の認証方法を用い たときには、プロセスの権限を認証したユーサーに変更で きなかった。 Cygwin DLL 1.1.3 における改良点 この状況がいくらか改善されたのはバージョン 1.1.3 の ときである。 OpenSSH と inetutils の移植を担当して いた Corinna カゞ、 cygwin-logon-user と cygwi n-set ー impersonation-token という API を Cygwin DLL に 導入して、 seteuid や exec などのシステムコールとこれ らの API を叫秀させるようにした。 この 2 つを使って図 6 の例を書き直すと、図 7 のよ うになる。これだけを見ると手間か増えたようにみえるか もしれない。しかし、一度 cygwin-set-impersonation- token をすませておけば、 seteuid や exec が必要に応し て適切な Windows の API を呼び出すので、全体では変 更箇戸励ゞすっと少なくてすむようになった。 パスワード以外の認証方勣ヾ使えるのは 1.3.2 から ただし、 cygwin 」 ogon-user にはパスワードを与えな ければならないので、プロセスの権限の変更にユーサーの 7 前回紹介した ntsec の炉者。 UNIX MAGAZINE 2001.11

す第を既に日第島第 : : 信 : 信信第等 3 : 第 3 等第信勢 : 既 : 信第信勢第第 ? 島第第日 W 槲第等既勢第信第 なく書き込めた、といったフォローがきました。 Newsgroups: fJ.comp. dev. pc-card,fj. sys. ibmpc Subject: Ethernet 用 PC カードとカテゴリ 5 ケープル の接続部 大学の研究室て学生にノート PC を使わせていますが、 Ethernet カードと刊属のメディアカプラ ( メディアケー プル ) との接合部カ啝度か壊されてしまいました。メディ アカプラなしで直接カテゴリー 5 ケープルを接続するタ イプの Ethernet カードにすれは壊れにくくなるでしょ うか、という質間記事です。 これに対して、自分もメディアカプラ付きのカードを 壊したので、それが不要なものに買い替えたがいまのとこ ろは壊れていない、ためしに手で力を加えてみたがある程 度は手荒に扱っても壊れないようである、これの欠点は持 ち運ぶときに出つばりが気になることである、 USB 接続 のネットワーク・アタフ。タに替えた、メディアカプラを 壊してしまう人が多いのか、山も匠では PC カードとケー プルのコネクタの破損を防ぐカバーが数社から出ている、 ノート PC であれば泉 LAN カードを使うガ去もある、 といったフォローがきました。 Newsgroups: . net 」 an. ethernet Subject: IOOBASE-TX の車る医なんですか Corega の 100Base TX 対応 Ethernet カード (PCI バス用と PC カード型 ) で LAN を構築していますが、 Windows マシン間で約 100 枚の画像 ( 合言 260MB 程 度 ) をフォルダごとコピーしたところ 4 分 30 秒ほどかか り、 10B e T 並みの 1MB/s くらいの中幻幻度しか出 なくて悩んでいます。どうすれは 100Base TX 本来の速 度が出せるのでしようか、という質間記事です。 これに対して、 Windows マシン間の経路はすべて 100 Mbps になっているのか、 PC カード型の Ethernet カ ードには 32 ビットの CardBus 対応ではなく 16 ビッ トのものがあるが、その場合は 10Base T 並みの速度で も仕方がない、 CardBus 対応の PC カードを使うには ノート PC の PC カードスロットも CardBus に対応 している必要がある、最近のノート PC なら CardBus 対応は当り前といってもよい、ネットワークの伝送速度 が 100Mbps に近い性能でも、ハードディスクの読み書 きがネックになって結果的により長い転送時間がかかる ことがある、といったフォローがきました。 Newsgroups: . sys. ibmpc 月 . sys. pc98 Subject: Windows3 ュでインターネット Windows 3.1 のマシンをインターネットに接続する にはどうす川まよいのでしようか、という質間記事です。 これに対して、シェアウェアの Trumpet Winsock や商用の Cameleon などの TCP/IP プロトコル・ス タックをインストールする必要がある、一ヨは 30 社ほど がこれを発売していたが、 Windows 95 の登場とともに 消えていった、運よく入手できても WWW プラウザや FTP クライアントなどを別途入手する必要があって大変 なのではないか、中古のモデムのなかには Windows 3.1 用のソフトウェアが付いているものがあるかもしれない、 Windows 3.1 用の lnternet ExpIorer には TCP/IP スタックが付いていた、 IBM の「 WebBoy for DOS 」 (http://www-6.ibm.com/jp/pspjinfo/webboy/) を 使って DOS 環境でインターネット接続をするという手 もある、フリー・ソフトウェアの DOS 用 TCP/IP スタ ックもある (http://www.pc88.gr ・ jp/-teen / ) 、といっ たフォローがきました。 Newsgroups ・ fJ.sys. pc98 Subject: PC 9 8 機と DOS/V 機 Windows 95 / 98 系の OS が入っている NEC PC98 機と DOS / V 機があります。スタートアップ用のバッチ プログラムのなかで PC98 機か DOS/V 機かを区別して 処理を分皮させたいのですが、どのようなガ去を使えはよ いのでしようか、という質間記事です。 これに対して、 %windir%*jfont. sys があれは PC/ AT 互換機である、これは日本語版に限定した話であり、 英語版 Windows では PC98 機だと誤認してしまう、 、、 DOS/V" と書いてあったので日本語版限定でかまわな いと解釈した、中国語版などの可能生もないわけではな い、日本では、、 DOS / V " が入っていなくても PC/AT 互換機のことを、、 DOS/V 機 " とか、たんに、、 DOS/V" と呼ぶ悪習があって困る、英語版 Windows でも動作 させたいのであれは、 jfont. sys の代わりに %windir% *command*ansi. sys などを参照すればよいのではな いか、ほかに chev.com も目印として使えそうである、 neccd?. sys があれば PC98 機である、それが入ってい ない PC98 機もあるのでこのガ去は適切ではない、 A ド ライプの容量がある程度以上ある ( フロッピー・ドライ を第信 3 : 信等第島第に信第日第第信信信に鬲等を第に第 : 第鬲第第槲 : 信 : : 第信第 3 第第物第第 3 164 UNIX MAGAZINE 2001.11

連載 lnside Cygwin pt でアクセス権を設疋して unlockpt を呼ぶまでスレー プデバイスがロックされる。しかし、これは grantpt が ないと意床がないので、 Cygwin DLL はスレープテンヾイ スのロックについて何もしていない。 擬似端末のセキュリティ・ホール 現状の Cygwin DLL 刎疑似端末の実装には、ローカ ル・セキュリティを損なうセキュリティ・ホールが 2 つ ある。 Windows NT / 2000 で適切にセキュリティを設定 していても、 Cygwin の inetd や sshd が原因でローカ ル・セキュリテイか損なわれる可能性があるので注意して はしい。 デパイスのアクセス権を言できない grantpt でスレープデバイスのアクセス権を設定できな いのなら、 BSD 流に chown と chmod でアクセス権を 設定すオはよいかというと、これもうまくいかない。しつ は grantpt をどうこういう以前に、 Cygwin DLL は、 孑鬮以端末を含むすべてのテンヾイスについてアクセス権の概 念をサポートしていない。これは前回 ( 6 月号 ) 説明した ntsec を有効にしても同しである。 そのため、 Cygwin の sshd や telnetd を運用してい るホストにログインすると、同じホストを利用している他 のユーサーに自分の端末を読み書きされてしまう。 UNIX でも write コマンドを使えば他のユーサーの端末に書き込 むことは可能である。 UNIX なら mesg コマンドでそれ を止められるが、 Cygwin には mesg コマンドはないし、 実装することもできない。 マスター側のプロセスの本郷艮を奪われる もう 1 つのセキュリティ・ホールは、マスター側のプロ セスの権限を任意のユーサーに奪われてしまうという、か なり致命的なものである。 Cygwin の sshd や inetd で、複数の異なるユーザー のリモートログインをサポートするには、これらを SYS- TEM 権限で動かす必要がある ( 彳 ) 。この場合、マス ター側の sshd や telnetd が SYSTEM 権限をもつので、 このホストにログイン可能なすべてのユーサーに、 SYS- TEM 権限を奪陬する機会を与えてしまう。 このセキュリティ・ホールの原因は、マスター側とス レーフィ則の接続にパイプを用いていることにある。 Wi1 ト UNIX MAGAZINE 2001 ユ 1 dows においても、あるプロセスか作成したパイプは、基 本的にそのプロセスのイ鯀しか利用できない。しかし、マ スター側とスレーフィ則のプロセスか親子関係にない場合も あるので、 Cygwin DLL ではマスター側で作成したパイ プを、かなり無理をしてスレーフィ則のプロセスに渡してい る。その際に用いている去か : このセキュリティ・ホー ルを生んでいる。 プロセス間通信にパイプ以外のガ去を用い川ま、この間 題は解決できる。しかし、この間題を解決するだけでなく、 朋大の Cygwin DLL に不足している機能の実現にも利用 できるので、これを機に Cygwin DLL を補助するサーバ ーを導入することにした。現在、サーバーのアーキテクチ ヤを開発者間侖しつつ実装を進めている。おそらく次 の次のバージョンあたりで、この間題は角夬するはすだ。 プロセスの権限の変更 リモートログインを実現するには、ログインしたユーサ ーの権限でログインシェルを実行することも必要である。 Cygwin DLL て吸収しなければならない Windows と UNIX の差のなかでも、このプロセスの権限の変更に関 するものはかなり厄介である。 UNIX の場合には、プロセスが root の権限で実行され てさえいれは、 seteuid や setuid を実行するだけで、ど んなユーサーでもプロセスの権限を変更できる。しかし、 Windows 95 / 98 / Me にはプロセスの権限の概念がなく、 Windows NT / 2000 におけるプロセスの権限の変更は UNIX はど簡単ではない。 Windows 95 / 98 / l'v e の場合 Windows 95 / 98 / Me の場合にはプロセスの権限の概 念がないので、 Cygwin DLL の seteuid は成功したふり をする。もちろん geteuid は、 seteuid て、設定した UID を返すようになっている。これなら seteuid を実行する UNIX のアプリケーションでも、 Windows 95 / 98 / Me についてはソースコードに手を入れる必はないかと思い きや、そう簡単にはいかない。 root のチェックを外す seteuid にかぎらす、 root に依存したシステムコール を実行するアプリケーションや、セキュリティの都合上 115

ー物靄をま 0 れ第 Start on 、 Windows ( 2 ) ぼえむ PDF ファイルの閲覧と印刷には、 Windows 上の Ac- robat Reader (http://www.adobe.co.jp/) を使いま す。 Acrobat Reader をインストールすると、 PDF ファ イルの関連イ寸けも自重加勺におこなわれます。したがって、 start. pl の引数に PDF ファイルを指定すれは、その内容 を見たり印刷したりすることかできます。ただし、デフォ ルトの設定では、印届鮗了後も Acrobat Reader か起動 されたままになってしまいます (start. pl の実行時に Ac- robat Reader か起動されていない場合です ) 。とくに実 害はありませんが、印届鮗了後も不必要なウインドウカ鯛 いたままになるのは気持ちが悪いので、角夬ガ去を紹介し ます。 前号で説明したように、ファイル ( 拡張子 ) に関するア クションの定義は、工クスプローラのツールメニューか ら、、フォルダオプション " を選び、、、ファイルタイプ " タブをクリックすると表示される画面 ( 図 1 ) でおこない ます。ここでは、アプリケーションに対して DDE (Dy- 則号では、 UNIX 側から Windows アプリケーション を利用するためのツール SoW (Start on Windows) の インストールと基本的な使い方を紹介しました。 今回は、 VMware 環竟で SoW を使って PDF ファイ ルや PS (PostScript) ファイルを印刷するガ去、そして Emacs 上のメーラー (MUA) である Mew と SoW とを 叫莠させるガ去について説明します。 なお、以下では前号と同様、ホスト OS が Windows 2000 、ゲスト OS が Kondara MNU/Linux 2.0 とい う竟を前提とします。 PDF ファイルの印刷 UNIX MAGAZINE 2001.11 図 1 彖された拡一覧 全般ー表〒フルタイプーわラインカイルー 登録されている万イルタイプ フォル梦オフション 当 0 し T テキストドキュメント M 朝。 ExceI DIF 形式 一太郎文書タウン 0 ード MecrosoftWord 文書 41C03HTML M 朝 0 こ 0 代 word HTML 文書 ファイルタイプ・ sce を dD 可び廱編 アプリケション 0 に さい。 すべての℃を dD 方イ儿の設定を変更す引こは、ま総設定 ] をグルりして を以下の手順で変更します。 それには、 PDF ファイルに対する、、 pr ⅲ t " アクション ができます。 れを利用して印刷を終えたあとで自重加勺に終了させること す。 Acrobat Reader も DDE に対応しているため、 るアプリケーションなら、より細かな動作窈旨定が可能で プリケーションを制御する仕組みです。これに対応してい でメッセージを交換し、あるアプリケーションから別のア できます。 DDE とは、 Windows のアプリケーション間 namic Data Exchange) メッセージを指定することが 詳を第ミ定 141 図 3 のように変わります。ここで、 DDE に関する各設 す。、、 DDE を使う " をチェックすると、ウインドウが 3. 図 2 の状態では、 DDE を使わない設定になっていま すると、図 2 の設定ウインドウか表示されます。 print " アクションを選んで [ 編集 ] ボタンをクリック ウインドウを表示させます。 定 ] ボタンをクリックし、、ファイルタイプの編集 " 1. 図 1 の画面をスクロールし、、、 PDF" を選んで [ 言翔日設 2.

0 C ■ー・・創 1 一コトに一 - 、こ 0 ( HummingbirdTM ッ三・ムに ヘルプ⑧ 端末工ミュトタ 0 ロ ミこ 1 加 体験版 CD-ROM 差し上げます。 pc x server Exceed v7. OJ ! ! 他の追随を許さない世界シェア No. 1 の実績。日本語入力、高速描画、豊富な機能に加え、管理機能も充実。 PC から UNIX アクセスへのニーズに応え、あらゆる分野の Windows ー UNIX 混在環境を強力にバックアップ。 世界市場シェア断然トップの 72 % ※ 1 フォントサーバテータのキャッシュ機能 Linux サホート パワーマネシメント機能 X サーバリソース自動調整機能 ⅲ te Ⅲ mouse のホイール機能サホート ロードバランス接続機能複数 UN Ⅸホストへの同時接続 Windows 95 、 98 / NT4.0 / 2000 対応 設定情報パスワードロック機能ワンクリックで X クライアント起動 (Xstart) ※ 11DC#W21979.2000 Windows95.98 / NT4.0 / 2000 対応 NFS クライアントプログラム NFS Maestro Client 7. OJ 価格 . \ 54 , 000 ( J) 価格 . \ 78 000 ( 税別 ) ※記載された会社名および製品名は、各社の商標または登録商標です h 彙彙 p : ″ 333- れ ica - CO P 株式会社マクニカマクニカネットワークスカンパニー〒 222-0033 横浜市港北区新横浜 1 ・ 5 ・ 5 横浜 045-476 ・ 1960 大販 06 ・ 6300-0810 名古屋 052-933 ・ 4541

Token を利用する場合には、 ntsec を有効にしておかなけ ればならない。 ntsec を有効にしないと、 SYSTEM 権限 で inetd や sshd を実行したとしても、パスワード以外の 認証ガ去でプロセスの権限を変更することはできない。 さらに Cygwin DLL 1.3.2 にかぎっては、パスワード 証をおこなう場合でも ntsec を有効にしなければならな ルい い。これはたんなるバグであり、 Cygwin DLL 1.3.3 以 降では修正されている。 パスワード認証を用いないと権限の変更は不完全 NtCreateToken の生成したトークンによるプロセス の権限の変更は、 LogonUser の生成したトークンを使 ったときはど正しくおこなわれない。そのため、 sshd や rlogind でパスワード以外の認証方法でログインすると、 ューザーのマウントテープルがログインしたユーサーのも のに切り替わらないという間題か生じている。 これは、プロセスの権限を変更したときに、 Windows のレジストリの HKEY-CURRENT-USER 以下が、変 更したユーサーのものに切り替わらないからだ。この間題 を回避するには、ユーサーのマウントテープルの内容をシ ステムのマウントテープルに移すか、パスワード認証を使 うようにするしかない。 /etc/passwd に関する注意事項 ところで、 Cygwin のインストーラの生成する / etc / passwd は、いすれのフラットホームにおいてもパスワー ド・フィールドが空になっている。 Windows NT / 2000 については、 sshd や inetutils の各プロトコル用のサー ーは SAM を用いてパスワード認証をおこなうので、空 のままでもかまわない。 しかし、 Windows 95 / 98 / Me の場合には、 UNIX と 同様に /etc/passwd と crypt 関数を用いるので、空にし ておくわけにはいかない。空のままで inetd を運用する と、パスワードなしでリモートログインや ftp カゞ可能に なってしまう。 パスワード・フィールドに設疋する値は crypt コマン ドで作成する。このコマンドの引数にパスワードを指定し て実行すると、暗号化された文字列が出力されるので、 れをパスワード・フィールドに挿入すればよい ( 図 10 ) 。 crypt コマンドがみつからない場合には、 Cygwin のイン ストーラで crypt ノヾッケージをインストールしてはしい。 連載 /lnside Cygwin— 118 図 10 パスワード・フィールドの言聢 $ crypt ass 社 10 FmqphEXY9kTOA ←これを /etc/passwd に書き込む $ cat /etc/passwd fuj ieda : FmqphEXY9kTOA : 500 : 544 : : /home/fuj ieda : /bin/bash ( 誌面の都合上、で折り返しています ) Guest アカウントには要ラも意 Windows NT / 2000 でも、 /etc/passwd にまった く手を入れる必要がないわけではない。 Windows NT/ 2000 には、パスワードの設正されていない Guest アカ ウントが存在する。このアカウントは、フォルダやプリン タの共有をユーザー認証なして利用可能にする際に用いら れる。デフォルトではこのアカウントは無効になっている が、なんらかの理由で有効にした場合には注意が必要だ。 Guest アカウントを有効にした状態で inetd を運用す ると、パスワードなしでリモートログインや ftp カ呵能に なってしまう。この間題を回避するには、 /etc/passwd から Guest のエントリを削除するか、 Guest のログイン シェルを /bin/true などの無効なものに変更する必要が ある。 おわりに 今回は、 OpenSSH と inetutils に関する Cygwin DLL のエミュレーションの間題点として、孑鬮以端末とプ ロセスの権限の変更に関するものをとりあげた。インスト ール方法や使い方をはとんど説明せすに、いきなりディー プな話題に突入してしまったが、次回も同し調子て続ける つもりである。 次回は、ファイルのアクセス権限とデーモンに関する問 題をとりあげよう。 ( ふじえだ・かすひろ北陸先端科判を断大学院大学 ) UNIX MAGAZINE 2001.11

新・倉敷芸術科学大学のネットワーク構築・・・ 14 図 10 VLAN への loopback モ ードの言聢 * Summit48i : 61 # ping 202.244.163.1 2 packets transmitted, 2 packets received, 0 % packet loss 202 . 244.163.1 ping statistics 16 bytes from 202.244.163.1 : icmp—seq=l ttl = 128 time=0 ms 16 bytes from 202.244.163.1 : icmp—seq=O ttl = 128 time=10 ms Ping 202.244.163.1 : 4 packets, 8 data bytes, interval= 1 . * Summit48i : 63 # ping 202.244.163.1 EnabIed 100P back on vlan : gege * Summit48i : 62 # enable loopback—mode vlan gege 4 packets transmitted, 0 packets received, 100 % packet IOSS 202 . 244.163.1 ping statistics Ping 202.244.163.1 : 4 packets, 8 data bytes, interval= 1 . round-trip min/avg/max = 0 / 5 / 10 ms 今月までの 7 回にわたり、和訟壟加する倉敷芸不斗丿 ( でも っとも多く導入されている Extreme Networks の Sum- mit を例に、レイヤ 3 スイッチの基本設定について解説 してきました。紹介しきれなかった Summit 独自の機能 はまだありますが、とりあえす基本的な設定はできるよう になったのではないでしようか。 ■ 今月のあんか 70 しようか」と質間攻めに遭ってしまいました。 何かにやられている ) か大量発生し、「どうすれはいいんで がうまく当たらなくなってしまった感染了イ柵羊 ( どこかを Windows Update を実行しようとしても、すでにパッチ が多いので、どんどん被害者か増えていってしまいます。 ルスに感染していることなどまったく気づいていないこと と決まっているわけではありません。しかも、本人はウイ を利用しているので、いつどこでネットワークに接続する 2000 ューザーがいます。しかも、その大半はノート PC しかし、大学全体では 1 , 000 人を超える Windows りません。 と研究室に設置されているデスクトップ PC くらいしかあ よ」篩危囲内にある Windows マシンは、自分のノート PC て UNIX で重川乍しています。したがって、私の責任のお みつかったのです。倉敷芸科大の基幹サーバー群は、すべ 学内で、 Nimda ウイルスに感染したと思われる PC が 、一 0 に帰宅しようなどと考えた瞬間に天罰が・ - ドってしまいまし 不謹慎 ( ? ) にも、定時 ( 大学の就業規則では午後 5 時 ) 世の中で Nimda ウイルスの被害か騒がれていたころ、 大学は夏期假中だったために静観していました。ところ が、後期が始まって学生が登校してくると、 ・・・外部で 感染したとおばしきノート PC カ月寺ち込まれ、学内で蔓延 し始めたわけです。しはらくは収まりそうにありません。 これまではもつばら W ⅲ d 。 ws カ材票的となっていまし たが、近い将来、 PC UNIX のセキュリティ・ホールも Windows のセキュリティ・ホールもすべて使って自己 染していくタイプのウイルス ( 正しくはワーム ? ) が登場 するのは間違いないでしよう。 さて、買ったばかりの MaxAttach (Windows 2000 べースの NAS カスタマイズ版 ) にパッチを当てなけれ UNIX MAGAZINE 2001.11 にはやし・かすまさ倉敷芸彳楙斗学 : 大学 ) 。 14 台も買ったので、作業が大変です。

ワークステーションのおと一 0 図 1 ー要 私 : 上から順に〇、△、 ・・となっています。 CATV : そちらのほうは大丈夫です PC の OS は何を お使いですか ? 私 : Windows 2000 です。 CATV : さようですか。 Windows 2000 での接続につい てのサポートは、こちらでは対応しておりません。 CATV : お送りしているご案内のなかにも、そのように明 己しておりますが。 CATV : でも、お困りでしようから、あらためて技術担当 のものからご ; 叫各をさしあげます。 CATV 経由で Windows Update の Web ページ 1 にア 2 台つないだら x クセスしてみました。ところが、うんともすんともいいま 最後は、なんだか褝問答のようになってしまいました せん。 か : とりあえす心を落ち着けて ; 叫各を待っていると、 5 分 設定を間違えたのかと思い、今度は TP570 で同じよ ほどして、 うに設定してアクセスしてみました。ところが、こちらも 「〇〇様のお宅でしようか。 Windows 2000 でインター さつばりです。 CATV 会社からもらった設定案内を何回 ネット接続がうまくいかないと伺ったのですが」 読み直しても、間違っているとは思えません。 もしかすると、ハプが悪さをしている可能もありま という電言劼ゞかかってきました。 す。そこで、ケープルモデムに TP570 を直接接続して さきはどの CATV 会社とのやりとりのように、サポ みましたが、どうにもうまくいきません。 DNS も参照で ートかできる、できないという話になってはたまらないの きなければ、デフォルトルートに指定されているアドレス で、技利祕」なことを中心に話してみることにしました。 に対して ping を実行しても応答がありません。しはらく 私 : コマンド・プロンプトから、デフォルトルートに指定 がんばったのですが、お手上け状態でした。 されている IP アドレスに ping を実行しても、応答が そこで、 CATV 会社のサポートセンターに電話してみ 戻ってきません。 tracert でも同じです。 ました。 担当者 : それはおかしいですね。 CATV : まず、お客様の石忍をさせていただけますか ? ュ 私 : しつは、最初、別のノート PC をつないだんですが、 ーサー ID と・・ それではうまくいかなかったので、もう 1 台の PC と 私 : ューサー ID は CDO で・・ 取り替えてみたんです。 CATV : 石薩勘ゞとれました。どうなさったのでしようか ? 担当者 : あ、それですこちらのネットワークは、ケー 私 : PC がインターネットに接続できなくなったんてす。 プルモデムのさきには 1 台しカ材妾続できない規定になっ CATV :pc とケープルモデムは直接接続されています ておりまして、別の PC を接続したときは、回線がロッ か ? クされるようになってるんですよ。 私 : はい、そうです。 私 : そういう仕組みがあるんですか・ CATV : ケープルモデムの状態を確認していただけます 担当者 : ケープルモデムの電源を入れなおせは、クリアさ か ? 前面の 4 つのランフが・・ れるはすです。 私 : それはもう試してみたんですが、だめなんです。 1 http://windowsupdate.microsoft.com CATV インターネット ケーブルモテム ハブ 知人のノート PC (ThinkPad 240 ) 私のノート PC (ThinkPad 570 ) 150 UNIX MAGAZINE 2001.11

Windows で UZZ ソフトウェアを 使おう ! 三 C 応 M 1 Windows/DOS 環境に移植された GNU ソフ トウェアを 200 本以上収録 ! GUI 全盛の今 も、コマンドラインツールが有効な場面は 多いが、本書を使えば Windows 上でも強 力な UNIX ツールが利用できる B5 変型判 / 168 ヘージ 本体 1 980 円 + 税好評発売中 ISBN4-7561-3674-5 株式会社アスキー 広告掲載企業一覧 ( 50 音順 ) アイ・エイ・アイ http://www.iai-usa. CO. jp/ アステック・プロダクツ http://www.astec. CO. jp/ 伊藤忠テクノサイエンス http://www.ctc-g. CO. jp/ コンヒュータダイナミックス http://www.com/uterdyna.com/ 数理システム http://www.msi. CO. jp/splus/ WRQ http://www.wrq. CO. jp/ad/rx DOS/V バラダイス法人営業部 http://www.dospara. CO. jp/hojin/ 日本計算化学サービス http://www.nccsk.com/ ーユーテック http.//www.newtech. CO. jp/ ぶらっとホーム http://www.plathome. CO. jp/ http://www.bOC. CO. jp/ http://www.maxtronic.com/tw/ http://www.macnica. CO. jp/exceed. html http://www.unitex. CO. jp/ ロジカルイフェクト http://www.logicaleffect.com/ (..D 4 っ 0 表 表 3 7 円 6 0 一 0 = 00 一 0 、 0 円 4 , 円 5 表 2 見開 8 , 円 3 9 ※広告掲載に関するお問い合わせ 株式会社アスキー広告局 EL : 03 , 5351-8199 一一一 〒 151-8024 東京都渋谷区代々木 4-33 ヨ O http://www.ascii. CO. jp/