OpenLDAPと暗号化通信

SMTPやPOP3プロトコルでは平文パスワードがネットワーク上を流れるますが，LDAPでも同じです。tcpdumpなどで通信をキャプチャしてみると，パスワード文字列を簡単に取得することができてしまいます。

アカウント情報（UNIXアカウント）をOPENLDAPで管理する場合、実際のパスワード情報はLDAPサーバ上のuserPassword属性中に暗号化された状態で格納されていますが，ネットワーク上のトラフィックをキャプチャしてみると，平文のパスワードを取得することができてしまう。

信頼されたネットワーク内のみで運用するのであれば話は別ですが，盗聴の危険性を考慮した場合，ネットワーク経路の暗号化の検討が必要になります。

暗号化の種類

データを暗号化させるためには，いくつかの方法が考えられますが，これはSMTP／POP3／IMAPなどの基本的なプロトコルにおける考え方と同様です。

ひとつ目の方法はSSL／TLSにより，トラフィック全体を暗号化させることです。この場合SSLを使用しますので，LDAPサーバ上にサーバ鍵，証明書，CA情報などを設置しておく必要があります。トラフィックをSSLでカプセリングすることで，パスワード情報だけではなく接続の最初から最後までの全情報を暗号化させることができることが最大のメリットです。また，暗号化だけではなく信頼された接続先に安全に接続できる，という意味も持ちます。