Tomcatのパスワードをダイジェスト化する：JavaTips 〜アプリケーションサーバ／コンテナ活用編

　Tomcatでは、基本認証やダイジェスト認証などの認証方法を利用することができます。しかし、パスワードは平文（暗号化されていない普通のテキストファイル）で保存されるため、パスワードが保管されているフォルダへのアクセス権を持つ人に、パスワードを知られてしまう危険性があります。

　このようなパスワードの漏えいを防ぐために、ハッシュ関数を用いてパスワードをダイジェスト化して格納しておくという方法があります。ダイジェスト化されたパスワードから元の平文パスワードを復元することは、非常に難しいとされています。従って、万一ダイジェスト化されたパスワードが他人に知られてしまっても、そこから元のパスワードを知られてしまう危険はまずありません。

　ユーザー認証の際は、ユーザーが送信した平文パスワードを同じアルゴリズムのハッシュ関数を用いてダイジェスト化し、このダイジェスト化されたパスワード同士を照会することによって、ユーザーの送信したパスワードが正しいかどうかを確認することができるのです。

パスワードのダイジェスト化

　認証の際にダイジェスト化されたパスワードを利用するには、まずパスワードのダイジェストを生成する必要があります。Tomcatでは、平文パスワードをダイジェスト化するクラスが用意されており、以下のコマンドによって利用できます（環境変数%CATALINA_HOME%には、Tomcatのルートフォルダが設定されていることとします。Windowsでのデフォルトのルートフォルダは「C:\Program Files\Apache Software Foundation\Tomcat 5.0」です）。

　ここで、「アルゴリズム」には「MD5」「SHA-1」などのメッセージダイジェストアルゴリズム名を指定します。「パスワード」には、ダイジェストを生成するパスワードを平文で指定します。

　アルゴリズムとパスワードを指定して、次のようにコマンドを実行すると、ダイジェストが表示されます。

　「:」（コロン）の左側が平文パスワード、右側がそのダイジェストになります。ここでは、アルゴリズムとして「MD5」を用いています。

ダイジェスト化されたパスワードの保存

　次に、Tomcatルートフォルダ下のconfフォルダにあるtomcat-users.xmlを修正し、生成したダイジェスト化されたパスワードを登録します。

　通常、user要素のpassword属性には平文パスワードが書かれているので、ここに先ほど生成したダイジェスト化されたパスワード（赤字部分）を記入します。

server.xmlの変更

　最後に、Tomcatルートフォルダ以下のconfフォルダにあるserver.xmlを修正し、ダイジェスト化の際に使用したメッセージダイジェストアルゴリズムの種類をTomcatに通知します。server.xmlのRealm要素に以下の属性を追加します（赤字部分）。

　追加したdigest属性の値には、パスワードのダイジェスト化に用いたアルゴリズムを記入します（ここでは「MD5」）。

　以上で設定は完了です。Tomcatを再起動させると、設定が有効になります。