Services ファイルは、サーバープロセス専用ではありません

telnetd や FTPD の運用から SSHD の運用へと移行する傾向に伴い、多くのシステム管理者が >system>stcp>services ファイルから「telnet」および「FTP」のサービス行を削除しています。

図1 – >system>stcp>services ファイル内の telnet および FTP の設定

telnet 172.16.1.34 telnet: tcp/telnet: unknown service ready 09:30:15 ftp 172.16.1.34 ftp: ftp/tcp: unknown service ready 09:30:26

その理由は、telnet および FTP クライアントが、接続すべきポート番号を決定するために getservbyname 関数を使用しているためです。この関数は services ファイルを読み込みますが、そのファイルに「telnet」や「ftp」といったサービス名が含まれていない場合、関数はポート番号を返さず、クライアントは終了してしまいます。

Telnetクライアントでは、コマンドラインでポート番号を指定することで、この関数呼び出しをバイパスすることができます。

図3 – Telnetクライアントへのポート番号の指定

このFTPクライアントには、このオプションがありません。

servicesファイルは、サービス名とポート番号およびプロトコルを対応付ける単純なテキスト形式のデータベースに過ぎません。「telnet」および「ftp」の行を削除しても、モジュールのセキュリティレベルは実質的に向上しません。なぜなら、ファイルにこれらの行が存在しても、それだけでこれらのサービスが自動的に実行されるわけではないからです。ユーザーがtelnetやFTPクライアントを使用する必要が絶対にないという確信がない限り、servicesファイル内のエントリはそのまま残しておくべきです。