...
脆弱性の温床であるDTD形式での記述を一切処理しないようにすることができます。Shibbolethおよび学認では使用しておりませんので、セキュリティ強化のため是非この手順を実施してください。
実施するには、/etc/sysconfig/shibd
および/etc/sysconfig/httpd
の末尾に以下の行を加えます。(CentOS 7での手順は後述)
書式設定済み |
---|
export XERCES_DISABLE_DTD=1 |
shibdおよびhttpdの再起動後に、以下のようなコマンドを使って当該環境変数が設定されていることを確認してください。
書式設定済み |
---|
$ sudo /sbin/service httpd restart
$ sudo /sbin/service shibd restart
$ sudo less /proc/`pidof -s shibd`/environ
$ sudo less /proc/`pidof -s httpd`/environ |
情報 | ||||||||||||||||
---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
CentOS 7では上記手順では反映されませんので、下記手順に従ってください。 shibdについては、以下のようにしてsystemd設定ファイルを編集し環境変数を追加します。最後のコマンドで当該環境変数が設定されていることを確認してください。
httpdのほうはexportを省いた以下の行を/etc/sysconfig/httpdの末尾に追記します。同様に最後に記載したコマンドで当該環境変数が設定されていることを確認してください。
|
verifyBackup="false"
バッキングファイルが他者によって変更されないことが確実な場合はSignature MetadataFilterの末尾に verifyBackup="false"
を追加してください。起動時のメタデータ読み込み時にバッキングファイルの署名検証がスキップされ起動が速くなります。
コード ブロック | ||
---|---|---|
| ||
<MetadataFilter type="Signature" certificate="/etc/shibboleth/cert/gakunin-signer-2010.cer" verifyBackup="false"/> |
SP 2.5.x から SP 2.5.x へのアップデートに関する情報
...