6. セキュリティに関する考慮事項 (Security Considerations)

LDAP は認証情報、ディレクトリデータ、およびアクセス制御に関連する結果を伝送するため、実装は confidentiality (機密性)、integrity (完全性)、および authentication (認証) を真摯に扱わなければならない。ディレクトリの内容や資格情報の保護が必要な場合、client と server は StartTLS または他の保護された転送機構を使用し、RFC 4513 で定義された LDAP authentication method および security mechanism に従うべきである (SHOULD)。

匿名アクセス、simple bind、および平文パスワードは、保護されていない接続上で機密情報を漏洩させる。導入にあたっては匿名クエリで参照可能なデータの範囲を制限し、暗号化されていないチャネルでの password の転送を避け、中間者攻撃 (man-in-the-middle) のリスクを低減するため server identity を十分に検証すべきである。

LDAP operation はディレクトリ構造、attribute name、distinguished name、およびエラー状態を漏洩し得る。server はアクセス制御ポリシーに基づいて、正確な diagnosticMessage、matchedDN、または referral を返すかどうかを決定し、エラーの違いによるオブジェクトの存在有無の漏洩を防ぐべきである。

実装はリソース枯渇攻撃 (resource exhaustion) からも防御すべきである。Search operation は大量の entry を返したり、計算コストの高い一致処理を引き起こしたりする可能性があるため、server は size limit、time limit、administrative limit、および認証後の認可ポリシーを用いて消費を制限すべきである。