Internet Security Glossary

$ OAKLEY

(I) （IPsec 用に提案されたが IKE によって廃止された）鍵確立プロトコルのひとつ。Diffie-Hellman アルゴリズムに基づいており、ISAKMP の互換性ある構成要素となるように設計された。[R2412]

(C) OAKLEY は、割り当てられた識別子をもつ共有鍵と、主体に関連づけられた認証された身元を確立する。すなわち、OAKLEY は、たとえ Diffie-Hellman 鍵共有が能動的回線盗聴によって脅威にさらされる場合でさえ、相互の主体の身元を確認するために認証サービスを提供する。また、共有された鍵について公開鍵の forward secrecy を提供し、非通信メカニズムによって配布される鍵と併せた鍵更新と、Diffie-Hellman で利用するためにユーザが定義するグループ構造をサポートする。
　

$ object （オブジェクト）

(I) トラステッドコンピュータシステムのモデルにおける用法：情報を含む、または、情報を受け取るシステム要素。

（Bell-LaPadula Model, trusted computer system 参照。）

　

$ object identifier (OID) （オブジェクト識別子）

(I) 一連の整数（ASN.1 標準で規定されているように整形・割り当てされる）で書かれた、あるものについての公式な地球規模で固有な名称であり、概要仕様中のものをプロトコルにおけるセキュリティサービスの交渉時に参照するために使われる。

(O) 「オブジェクトと関連づけられた (すべての他のこのような値から区別可能な) 値。」 [X680]

(C) OID によって命名されたオブジェクトは、オブジェクト識別子の木の葉である。（これは、X.500 ディレクリ情報の木と似ているが別のものである。）各 arc （すなわち、各木の枝）には、非負の整数のラベルが付けられる。OID は、木のルート（根）から名前がついたオブジェクトに至るパス上の一連の整数である。

(C) OID の木は、ルート直下に 3 つの arc をもつ。：

{0} ITU-T 用

{1} ISO 用
{2} 両者の共同利用

下記 ITU-T には、4 つの arc があり、ここで、{0 0} は、ITU-T 勧告（recommendation）用である。下記 {0 0} には、26 の arc があり、一連の勧告のための arc は、A から Z までのアルファベットで始まり、これらのもとに各勧告のための arc がある。それゆえ、ITU-T 勧告 X.509 についての OID は、{0 0 24 509} である。下記 ISO には、4 つの arc があり、ここで、{1 0 } は、 ISO 標準用であり、これらのもとの arcs は、各 ISO 標準用である。それゆえ、ISO/IEC 9594-8（the ISO number for X.509）用の OID は、{1 0 9594 8} である。

(C) 次のものは、追加的例示である。：

ANSI は、branch {joint-iso-ccitt(2) country(16) US(840) organization(1)} 下に組織体名を登録する。NIST CSOR は、branch {joint-iso-ccitt(2) country(16) us(840) gov(101) csor(3) pki(4)} 下に PKI オブジェクトを記録する。米国国防総省は、INFOSEC オブジェクトを branch {joint-iso-ccitt(2) country(16) us(840) organization(1) gov(101) dod(2) infosec(1)} の下に登録する。PKIX プライベート拡張のための OID は、{iso(1) identified-organization(3) dod(6) internet(1) security(5) mechanisms(5) pkix(7) 1 1} というように、当該 PKIX 名前空間についての arc の下の arc の中に定義される。
　

$ object reuse （オブジェクト再利用）

(N) 「かつて、ひとつ、もしくは、複数の（情報）オブジェクトを含んでいた蓄積メディアの再割り当ておよび再利用（例：ページフレーム、ディスクセクタ、磁気テープ）。蓄積メディアがセキュアに再利用され、新しい用途に割り当てられるためには、蓄積メディア中に以前、含まれていたオブジェクトの残存データ（磁気的痕跡）を含んではならない。」 [NCS04]

　

$ OCSP

On-line Certificate Status Protocol 参照。

　

$ octet （オクテット）

(I) 8 ビットのデータユニット。

（byte 参照。）

(C) この用語は、ネットワーキングにおいて（特に、OSI 標準において）「バイト（byte）」よりも好まれて使われる。なぜなら、8 以外の大きさのデータ蓄積単位について「バイト」を使うシステムがあるからである。
　

$ OFB

output feedback 参照。

　

$ ohnosecond

(C) 「あなたの私有鍵が暴露されたこと」を自覚したときの僅かの時間。

　

$ OID

object identifier 参照。

　

$ On-line Certificate Status Protocol (OCSP)

(I) クライアントによって、サーバーからデジタル証明書に関する有効性の状態と他の情報を入手するために使われるインターネットプロトコルのひとつ。

(C) （高額の商取引を扱うアプリケーションのような）アプリケーションにおいて、CRL によるより適時な証明書失効状態の入手、あるいは、他の状態情報の入手が不可欠である可能性がある。OCSP は、定期的な CRL に照らしてチェックすることの代わり、もしくは、追加的なものとして、デジタル証明書の現在の状態を判定するために使われる可能性がある。OCSP クライアントは、OCSP サーバー宛に状態リクエストを発行し、サーバーがレスポンスを提供するまで当該証明書の受領を保留する。
　

$ one-time pad （ワンタイムパッド）

(I) 暗号化アルゴリズムのひとつ。ここで、鍵は、一連の乱雑な記号であり、各記号は、1回限りの暗号化のため（ひとつのプレーンテキストを、ひとつの暗号文を作成するために暗号化するため）に使われ、当該鍵の複製は、復号のためにも同様に使われる。

(C) 1回だけ使われるようにするために、暗号化に使われた鍵の複製は、復号にも使える複製であるので、使用後に破棄される。これは、たとえ暗号解析のために無制限の資源が与えられたときでも本当に解読不能な唯一の暗号化アルゴリズムである [Schn] が、鍵管理費用と同期化の問題は、特別な状況を除いて非実用的なものとしている。
　

$ one-time password （ワンタイムパスワード）

$ One-Time Password (OTP)

1. 小文字：

"one-time password" は、単純な認証テクニックである。ここで、各パスワードは、身元を検証する認証情報として、1回のみ使われる。このテクニックは、回線盗聴によって捕捉されたパスワードを使うリプレイ攻撃の脅威に対抗する。
2. 大文字：

"One-Time Password " は、インターネットプロトコル [R1938] のひとつである。これは、S/KEY に基づいており、システムへのログインにおける認証情報として使うワンタイムパスワードの生成と、リプレイ攻撃に対する防護を必要とする他の過程において、暗号技術的ハッシュ関数を使う。
　

$ one-way encryption （一方向暗号化）

(I) たとえ暗号技術的な鍵が知られている場合でも、総当たり的な手順以外にはプレーンテキストが暗号文から復元できないような不可逆な平文の暗号文への変換。

（encryption 参照。）

　

$ one-way function （一方向性関数）

(I) 「計算するのが容易であるが、一般的な値 y について、f(x) = y となる x を発見することが計算量的に困難である（数学的）関数 f。x を見つけることが計算量的に困難である値 y がわずかながら、存在する可能性がある。」 [X509]

(D) インターネット標準文書は、この用語を「暗号技術的ハッシュ（cryptographic hash）」の同義語として使ってはいけない（SHOULD NOT）。
　

$ open security environment （オープンセキュリティ環境）

(O) 米国国防総省における用法：

次の条件の少なくとも一方に適合するシステム環境。：

(a) アプリケーション開発者（保守者を含む）は、「悪意あるロジックは導入されていない」という許容可能な想定を提供するのに十分なクリアランスもしくは認可をもたない。

(b) 設定コントロールは、「アプリケーションおよび機器は、システムアプリケーションの運用の前と最中に悪意あるロジックの導入に対して防護されていること」について十分な保証を提供しない。[NCS04]

（closed security environment 参照。）

　

$ Open Systems Interconnection (OSI) Reference Model (OSIRM)

(N) ネットワーク中のコンピュータの相互接続のための 7 層のアーキテクチャに関する通信フレームワークについての ISO/ITU-T 共同標準。[I7498 Part 1]

(C) OSI に基づく標準は、インターネットプロトコルスィートとほとんど互換性がない通信プロトコルを含むが、X.509 のようなインターネットにおいて使われるセキュリティモデルも含む。

(C) OSIRM 層は、最高位から最低位の順に、(7) アプリケーション層、(6) プレゼンテーション層、(5) セッション層、(4) トランスポート層、(3) ネットワーク層、(2) データリンク層および (1) 物理層である。この小辞典において、これらの層は、名前で呼ばれるインターネットプロトコルスィートの層との混同を避けるために番号で呼ぶ。

(C) 誰かが「OSI 層と（キリスト教における）7 つの大罪との対応」を描写した。：
7. 憤怒（Wrath）：アプリケーションは、常に、下位層の乱雑さに怒っている。（やい！指さしているのは誰だ？）
6. 怠惰（Sloth）：プレゼンテーションは、あまりにも怠け者であるので、自身では生産的なことは何もしない。
5. 色欲（Lust）：セッションは、常に、本当はアプリケーションの機能に属することを切望し、要求している。
4. 貪欲（Avarice）：トランスポートは、すべての「エンド to エンド」機能を望む。（当然ながら、それに値するが、人生は公平ではないのが常である。）
3. 暴食（Gluttony）：（コネクション指向の）ネットワークは、トランスポートの昼食を頻繁に食べてしまった後では、太りすぎであり、食べ過ぎである。
2. 嫉妬（Envy）：貧弱なデータリンクは、常に、注目されることに飢えている。（非同期転送モードであれば、おそらく、あまり無視されているとは感じないことであろう。）
1. 傲慢（Pride）：物理は、他の要素によって被る大部分の論争や、ほとんどすべての厄介ごとを避けることに成功した。

(C) John G. Fletcher は、「OSI 層と白雪姫の小人たち」との対応も描写した。：
7. ドク：アプリケーションは、それが担当であるかのように振る舞うが、しばしば、その台本を攪乱してしまう。
6. スリーピー：プレゼンテーションは、ものぐさであり、怠惰の罪を負う。
5. ドーピー：セッションは、その役割が不明確であるので、当惑している。
4. グランピー：トランスポートは、ネットワークがトランスポートの領土を侵犯したことによって、イライラさせられる。
3. ハッピー：ネットワークは、トランスポートがイライラしているのと同じ理由で微笑む。
2. スニージー：データリンクは、注目を集めようとして、大きな雑音をたてる。
1. バッシュフル：物理的な静かさは、人知れず働いている。
　

$ operational integrity （運用的インテグリティ）

(I) "system integrity"についての同義語。；

単なるインテグリティを確保する能力ではなく、システム機能の実際の性能を強調する。

　

$ operations security (OPSEC)

(I) 慎重を要する活動や運用の計画や実行の証拠を識別・統制・防護する過程であり、これによって、潜在的な敵が能力主体と意図についての知識を得ることを防ぐ。

　

$ OPSEC

operations security 参照。

　

$ ORA

organizational registration authority 参照。

　

$ Orange Book （オレンジブック）

(D) インターネット標準文書は、この用語を "Trusted Computer System Evaluation Criteria" の同義語として使ってはいけない（SHOULD NOT）。[CSC1, DOD1] 代わりに、文書名の完全な正式名称を使うか、または、意向の参照において、短縮語"TCSEC"を使う。

（Green Book （の用途における注意）参照。）
　

$ organizational certificate

(O) MISSI における用法：

MISSI X.509 公開鍵証明書の一種。これは、米国政府の Defense Message System について、組織体のメッセージを扱うことをサポートするために発行される。

　

$ organizational registration authority (ORA)

(I) 一般的な用法：組織体についての RA。

(O) MISSI における用法：

RA の MISSI 実装。MISSI のエンド主体であり、これは、
(a) PCA CA もしくは SCA がデータを収集・検証・入力し、それを署名機関に転送することによって、他のエンド主体を登録することを支援し、
(b) カード管理機能も支援する可能性がある。

ORA は、ローカルの運用管理的機関であり、この用語は、そのオフィスもしくは役割と、そのオフィスに居る者の両方をいう。ORA は、証明書、CRL もしくは CKL に署名しない。

（no-PIN ORA, SSO-PIN ORA, user-PIN ORA 参照。）
　

$ origin authentication

$ origin authenticity

(D) インターネット標準文書は、これらの用語を使ってはいけない（SHOULD NOT）。なぜなら、それらは、国際的に標準化された用語の不注意な用法に見えるからである。代わりに、意味に応じて"data origin authentication" もしくは "peer entity authentication"を使う。

　

$ OSI

$ OSIRM

Open Systems Interconnection Reference Model 参照。

　

$ OTP

One-Time Password 参照。

　

$ out of band （通信外）

(I) 通常使われているチャネル外（すなわち、分離された形態）を使う情報の転送。

（covert channel 参照。）

(C) 通信外（Out-of-band）メカニズムは、しばしば、共有された秘密（例：共通鍵）、もしくは、（初期化したり、あるいは、暗号技術や他のセキュリティメカニズムの動作を可能とするために必要とされる）他の取扱に注意を要する情報要素（例：ルート鍵）を配布するために使われる。

（key distribution 参照。）
　

$ output feedback (OFB) （出力フィードバック）

(N) ECB（電子的コードブックモード）をブロック長以下の可変長の平文セグメントについて動作するように変更したブロック暗号技術モード。[FP081]

(C) このモードは、当該アルゴリズムの以前に生成された出力ブロックをアルゴリズムの次の入力ブロックとして直接使うことによって（すなわち、出力ブロックを「フィードバックする」ことによって）動作し、出力ブロックと次の（ブロック長あるいはそれ未満の）平文セグメントを、結合（排他的 OR）して、次の暗号文セグメントとなるようにする。

$ outside attack
$ outsider attack （外部者による攻撃）

attack （における 2番目の定義）参照。

N<- 3 ->P