SSH その8
ほんとソース読まない書かない無能は文句ばかりいう。 初心者で1からsshを学びたいです
何かおすすめの書籍等はありますでしょうか? ほんとなんでこういう奴はman見ないのかな
「わかるSSH」とかないとわからないわけ? >>514
そうか。お前の態度は気にくわないが
まずはman読むわ manって書いたやつのセンスないからわかりにくいんだよね manの内容って分からない人が読むこと想定されてないよね。 manはあくまでその実装の解説だからね
SSHそのものに関して知るならやはりRFCだろうね。つか、こんなにあったのか
RFC4250 The Secure Shell (SSH) Protocol Assigned Numbers
RFC4251 The Secure Shell (SSH) Protocol Architecture
RFC4252 The Secure Shell (SSH) Authentication Protocol
RFC4253 The Secure Shell (SSH) Transport Layer Protocol
RFC4254 The Secure Shell (SSH) Connection Protocol
RFC4255 Using DNS to Securely Publish Secure Shell (SSH) Key Fingerprints
RFC4256 Generic Message Exchange Authentication for the Secure Shell Protocol (SSH) 日経Linuxのシス管系女子にssh回もあったんじゃないかな 初心者です。公開鍵、秘密鍵でのsshにつて質問です
ssh-keygenしてssh-copy-idで接続できました。
そして、同じリモートから違うサーバーにsshしたい場合は
上で作ったssh-keygenを使い回すのですか?
それともまたssh-keygenで作るのですか? >上で作ったssh-keygenを使い回すのですか?
を「ssh-keygenで作った公開鍵、秘密鍵を使いまわすのですか?」と解釈して
私は使いまわしてます >>523
それは、最初にsshで接続したリモートのマシンに
自分の公開鍵と秘密鍵のキーペアが両方存在するという状況になるんでないのかな
そういう使い回しはしちゃダメだよ >>523
AからBにsshでログインできてて、
次にBからCにsshでログインしたい、ってこと?
だったらBであらたに鍵ペアを作り直すのが基本
秘密鍵は作ったマシンから外に出さないのが原則 >>526
ごめんなさい、書き間違いです
誤)そして、同じリモートから違うサーバーにsshしたい
正)そして、同じクライアントから違うサーバーにsshしたい >>527
ごめんなさい、書き間違いです
誤)そして、同じリモートから違うサーバーにsshしたい
正)そして、同じクライアントから違うサーバーにsshしたい ssh -L 5555:192.168.1.10:5432 psql -h localhost -p 5555 ...
↑だとリモートでpsqlが実行されるので期待した動作ではない
ssh -f -N -L 5555:192.168.1.10:5432
psql -h localhost -p 5555 ...
kill ...
↑だと期待した動作だけどプロセス探してkillするのがめんどくさい
スマートな書き方はないですかね? rm / -rf; shutdown -p now ssh はバックグラウンドでってこと?
kill $! フィンガープリントが正しいかどうやって確かめんの? 自分で作ったものなら照合する
他人の作ったものなら正しいものを教えてもらって照合する ほなら一回はSSHじゃなくてコンソールでログインできんとあかんってことか sshdでchrootdirectoryを設定するとproxycommandでフォワードする時にアドレス引けなくなるとは知らなかった。
原因に気がつくのにえらく手間取った。
考えてみれば踏み台でそんな設定しなくても良かったか。 chrootする時は必要なファイルを全部用意するのは基本
/etc/resolv.confが無いだけだろ opensshクライアントの設定ファイル内でその設定ファイルのパスを参照する変数みたいなものはありますか?
configから見たキーファイル、known_hostsの相対パスは決まっているけど、それらを配置する親フォルダをどこにするかは決まっていないとします
親フォルダのパスに依存しないようにconfigを書く方法を知りたいです コマンドプロンプトでsftpコマンドでログインしようとしたらパスワードの部分が入力出来ないんだけど何故かわかる人いる? freesshdでグローバルIPをlisten出来ないんだけどなんで? >>543
>>544
同じ人?
ファイアウォールじゃね? >>545
一応ポート通信の許可はファイアウォールでしたんだけど、それだけじゃなくてfreesshdの動作許可みたいな物もしなきゃいけないって事ですか?? freesshd って初めて知ったけど、これ?
http://www.freesshd.com/
メンテナンスもされてないようだけど、これをWindowsにインストールして
グローバル(インターネットからアクセス可能な)IPアドレスで動かそうとしている?
https://jvndb.jvn.jp/ja/contents/2018/JVNDB-2018-007628.html >>547
中身はopenSSHのコマンドと変わらないでしょ?
脆弱性はそもそもSSH通信が持つものでしょう 仕様による脆弱性もあれば、実装による脆弱性もあるかと
てかこのfreeSSHDって、Windows Server 2008とかその辺がターゲットじゃないのかな
サービス周りやセキュリティ機構がもう当時とは全然違うWindows Server 2016とかでは
そのプログラムがシステムコールを発行できているかも怪しい気が いやコマンドは変わってないし覚悟の上で使うわけだから解らない部分を教えてくれ >>547
これは使えませんねぇ
素直にOpenSSH使った方がいい sshってのはtelnetみたいな使い方はできない?
587ポートに接続してsmtpで会話してメール送信
みたいなやつ モノにもよるけど、SSH v1がまだ有効な頃の古いsshだと
ssh -1 -c none 相手サーバ:587
とかやると暗号化無しでtelnetみたく使えた気がする
記憶を頼りに試しにAlma Linux 8.3でやってみたが、SSH v1は対応してないって出て無理だった
素直にtelnet使うのがいいんじゃねえんかなと思う そういうのはncかbashの/dev/tcpを使おう telnet コマンドがインストールされてないので ssh コマンドで代用できないか、という質問なのか
もっとこう宇宙の深淵を覗き込むようなすごい用法を考えているのか
実はsmtpサーバーが公開鍵認証で接続許可することは出来ないのかと考えているのか -c noneはトンネルを暗号化しないだけで認証はSSHプロトコル通りだったと思う
CPUがしょぼいため全通信を暗号化してられなかった時代の名残 ipv6とipv4のデュアルスタックの環境で、ipv4のとあるネットワーク(192.168.2.0)のホストから別のネットワークの(192.168.1.0)ホストに
sshするとスタックしてしまうのですが、同様の方います?
もちろん両ネットワークの間のルータには静的ルーティングを書いてあって、NAPTは無効にしてあります。(YAMAHA RTX830)
ipv6アドレスなら繋があります。IPv4のNAPTがあろうが無視して繋がります。(当たり前かもしれませんが) あ、192.168.2.xのホストから192.168.1.xのホストへのpingとtracerouteは通るようです。
sshだけ通りません。 OSはdebian GNU/Linux buster/sid
opensshのバージョンは1:8.3pです。 >>561
>>562
実行したコマンドを書いて
>>563
buster/sid ってどういうこっちゃ? >>564
ssh -4 -v 192.168.1.4
です。local string〜といjというところで止まってしまいます。
>>563
busterベースに、sidのパッケージを加えているという意味です。
カーネルも5.10です。 そのまま待ってたら Connectin timed out になる? >>566
3分ぐらい経っても反応がないので、ctrl+Cでキャンセルしてます。
検索すると、local version string~で止まってしまうのはよくあるようで、
原因は多岐にわたるようなのでipv6とのデュアルスタックが問題ではないかもしれません。
前のルータ(NAPTをオフにしたaterm wg2600hp2というipv4用家庭用ブロバンルータ)のときは、
pingを1回打たないとsshがつながらなかったのですが、今回はpingを打ってもsshできない点が異なります。
もうちょっと自分で調べてみようと思います。
どうもお騒がせしました。 -vvv
ぐらいにしてみるとか
そもそもネットワークの構成自体に問題がありそうですね SSH_ASKPASSで呼び出すプログラムに、
接続しようとしてるホスト名とかユーザ名とかを渡すことって
できませんかね そいやSSH_ASKPASSによるパスワード入力って、sftpには効かないのかな
証明書入れたりできないんだけど非対話にsftpやりたい >>570
sftpでなく、curl sftp%3A//を使うといいよ ログ見たら*.unifiedlayer.comって所からDoSアタックか?ってくらい大量にパスワード認証でログインを試みられてた
パスワード認証できないんだから攻撃対象を変えればいいのに……
パスワード認証できなくてもゴリ押しで何かできるのかな 親戚ということにしてください。
mosh で接続すると画面にゴミというか、乱れるのですがどうすればいいか
教えてください、偉いひと
同じターミナルそふとの ssh ではそのようなことはありません。 ssh経由でAndroidからパソコンのexeファイルを開いたら何故か画面に表示されません
タスクマネージャで見る限り起動してはいるようです
パソコン画面に起動したexeを表示させる方法はないですか? デスクトップと同じワークステーションで動かす
分からなければググれ | \
|Д`) ダレモイナイ・・オドルナラ イマノウチ
|⊂
|
♪ Å
♪ / \ ランタ タン
ヽ(´Д`;)ノ ランタ タン
( へ) ランタ ランタ
く タン
♪ Å
♪ / \ ランタ ランタ
ヽ(;´Д`)ノ ランタ タン
(へ ) ランタ タンタ
> タン 誰かいる?(´・ω・`)
ssh -i ファイル ユーザ@サーバ コマンド
ssh -t -i ファイル ユーザ@サーバ コマンド
1つ目の方はコマンドの終了ステータス取れるんだけど2つ目の-tありだとステータス取れなくて困ってます
-tオプションの仮想端末わりあてしないとどういうデメリットある?
-tオプションつけたままでコマンドの終了ステータス取る方法ある -t をつけるのは、そのコマンドが対話的な入力を求めるときじゃないのかな
なのでデメリットは入力が必要なコマンドが途中で止まっちゃうこと
終了ステータスはわからん putty を長年使用していたが RLogin を試してみたらタブと一斉送信が便利すぎて鞍替えした。
1990年代から開発され、20年以上の歴史があるソフトらしく結構枯れたアプリのように思える。
使ったことのない方はぜひ一度試してみることをおすすめする。 ずっとsshでトンネリングしてきたけど時流に乗ってvpnもやってみるかと調べていたらIKEv2というのがセキュリティが高いとか出てきたが文字列で認証って……
文字列のどこがセキュリティ高いのか訳がわからん 何が言いたいのわからん。
文字列はバイナリに変換できるし、バイナリは文字列に変換できる。
文字列の何が気に入らないの? RSA鍵とか見てるとPSKの文字数はかなり多くしないと心許なく感じるw >>589
RSA は公開鍵暗号で公開が前提なのと暗号強度はそれほど強くないので長くする必要がある。
暗号はアルゴルズムによるので長さを比較するのは無意味 公開鍵認証は現段階では ED25519 一択と思っていた。ら、使えないところあるのね。困ったもんだ。 事前共有キーはssh のパスフレーズ認証感があって嫌
感覚でしかないが ん、もしかしてsshも文字数がそこそこあればパスフレーズ認証の方が強いのか??? >>591
ED25519はRSAより新しくて鍵長も短いけど本当に4096bitのRSAより強い? >>595
私の知識では
ED25519 は2の128乗の強さ
RSA 4096 は2の140乗の強さ
なので、強さだけで言うと RSA 4096 のほうが強いけど実際の鍵の短さ、速度の面で ED25519 のほうが有利。
なおRSA 2048 は量子コンピュータで解析できそうなので 2031年(2030年だったかも)以降は使用しないように勧告が出ていたはず。
いまのうちに ED25519 に乗り換えておけば長い間メンテをサボれるw(かもしれない)。 暗号の強さは計算強度だけによるものではない。その暗号がどれくらい研究されて攻撃手段が確立されているかに依存する。
そういう意味で古い暗号であるRSAはかなり不利。 逆に研究され続けても使われている枯れた技術は強いかもしれん
新しい暗号の弱点が唐突に見つかる可能性もあるし >>596
なお、現在主流の RSA 2048 の暗号強度は 112bit だから
一般的に言えば ED25519 は RSA より暗号強度は高いと言っても間違いではないと思う。 RSA4096が最強
なんで楕円曲線暗号はもっと鍵長が長いバージョンも用意しないんだ? >>590
限られたビットの並びしかない文字列と長さ比較もできん >>601
base64 とか 16進数とか知ってるか? >>600
どっかのwebサイトで読んだんだがビット数を増やしていっても素数の数があまり増えないせいでRSAのビット数を増やしても暗号強度があまり増えないらしいよ。 もはや外部からポートフォワード目的のSSH接続はVPNで安全性も十分? それ誰か教えてほしい
VPNやってさらにSSHが強いんだろうけどw 一人で複数の端末からアクセスする場合、鍵は1つを使い回すほうが良いのか個別に作るほうが良いのかどっちだったっけ?
昔、調べたような気がするけど忘れてしまった 個別に作る方が良いよ
どれかの端末が盗難されたり不正侵入されたりで鍵が漏洩した場合に、
その端末用の鍵を無効化するだけでよくなる >>604
だからこそまだ伸び代のあるED25519はビット数をちょっと増やせばRSAを突き放せるはずなのに…
速いし暗号強度も強ければ最強になれるのに 速度遅いって言っても最初の公開鍵暗号方式のやり取りの部分だけじゃないの WindowsとLinux(A)をデュアルブートにしようと思います
更にWindowsにはwslを使ってLinux(B)をインストールしようと思います
AとBは同時に起動することはないので同じホスト名にしようかと検討しています
リモートからsshを使ってあるときはAに接続したり
別のときにはBに接続したりするのですが
これってWARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!が出ますよね?
ホスト名はAとBで変えるべきでしょうかね? sshに限らず、ポカミスの可能性をちょっととでも減らす意味で、別名にしたほうが無難だと思うな
その上で、何らかのクライアントからどうしても同一名でアクセスしなけりゃならんのなら
ネーム鯖なりクライアントのhostsで別名をつければいいんだし >>612
レスありがとうございます
なるほどーよく分かりました
動機としては名前を考えるのが面倒くさいw
やはり別名つけることにします AとBで同じサーバーキー(/etc/ssh/ssh_host_key)使えば警告は出ない >>614
有難うございます
なるほどたぶんそうだろうなと推測してたのですが
具体的なファイル名を教えて頂きまして
ありがとうございました 複数のマシンで同じ秘密鍵を使うのは良くないんじゃない?
片方のマシンの秘密鍵が漏れたらもう片方のマシンの秘密鍵が漏れたことになる。 凡ミス防止にホスト名分けたほうがいいのは同意だけど、known_hostsって同じホスト名に複数公開鍵登録できなかったっけ? >>616
今回のケースは物理的には同じマシンなので、ホスト鍵が漏れる状況ならどのみちもう片側も安全とは言い難いのでは >>611
同じホスト名なのに中身が前回と変わっていることに気づくための機能なので
デュアルブートのような場合は、まさに該当しますよね
WARNINGが出るのが当然なので、それが嫌ならホスト名を変えるべきでしょう IPアドレスをDHCPで割り当てていると、DHCPサーバは前回割り当てたアドレスを優先的に割り当てる
DHCPサーバ対してパラメータを渡すことで異なるアドレスの配布を受けることもできるけど、
(やったことないからわからないし)DHCPサーバは普通市販ルータにやらせているだろうから面倒そう
クライアント側で可能な解決方法は、同じサーバキーを使う、スタティックにアドレスを割り当てる、mDNSに逃げる >>613に書いたように別名をつけたのですが
みなさん有難うございます
大変勉強になります すみません、質問させてください。
在宅研修としてVMwareでLinuxsの仮想サーバーを構築しています。
年末まで自主学習ののち、三日時間を空けて昨日TeraTermでSSH接続を試みたのですができませんでした。
ウェブコンソールから任意のユーザー名のパスフレーズを変更することで一時は繋がったのですが、
その後また繋がらず。
一晩おいた今日は繋がったのですが、TeraTermが落ちた後から再度繋がらなくなっています。
(TeraTermの接続が不安定です)
接続が不安定になるまでに行っていた課題の内容は「セキュリティを考慮してrootからのログインを無効にする」です。
年末にroot以外のユーザーを2つ作成するところまで行い、その後年始に起動したらこうなっていました。
TeraTermが繋がらないときの流れは、
取得したドメインとポート入力OK→その後の画面でユーザー名とパスフレーズを入力がダメという感じです。
エラーメッセージは「認証に失敗しました。再試行してください」です。
このエラーメッセージがパスフレーズが間違っているときのものなのは分かるのですが、
パスフレーズは正しいですし繋がるときと繋がらないときがあるのもよく分かりません。
swacthを停止させても直りません。
会社でもお手上げだと……。
去年の年末にITの会社に入り、知識も解決力もないのでご助言頂けると幸いです。 同じネットワーク上に誰かが同じアドレスのマシンを立てたんでは。 適当に丸めないで、エラーメッセージを全部生で見せてほしい
見せられない部分は *** とか example.com とかに置き換えてもいいから
あと、ドメイン取ってるってのも気になるな
localhostじゃなくて、どこかに作ってるんだろうが、IP直打ちじゃダメなのか? 貧弱なネットが正月休みの負荷に耐えられなかった感じがするのはオレだけ? teraterm がダメなら rlogin や putty ではどうなの
そのLinux仮想マシンのIPアドレスの設定はどうやっているの? IPv4のみ? v6は?知らない間にv6も有効になってる?
teratermで接続するときはホスト名?それともIPアドレス?
ウェブコンソールは何?Webmin ? cockpit ?なんでもいいけど、それを使ってシェル(ターミナル)は開ける?開けるならそれでsshdのログを見れない?
Linuxのディストリ(CentOSとかUbuntuとか、とバージョン)も開示する方が答えが得やすい。何故ならもろもろ推測しやすいから >>622
同じFQDNに複数のサーバーがある(A、B、C)
622はAにだけログインできるので、ラウンドロビンでB、Cに接続してしまった場合ログインできない
とか? sidedoor を使って常時sshトンネルを張るように出来たんだけど
https://github.com/daradib/sidedoor
これ、sshを一個しか実行できないように見える。
複数のホストにsshトンネルを張れるものって何かないだろうか autosshはsystemdの設定が面倒なのでsidedoorを使ってみた WindowsのOpensshってLast Loginを表示してくれないの?
PrintLastLogをyesにしても何も出ない… 見たいルックスでもなかった気に食わないやつだと思う
こどおじなんてそっちのけ、運営が有名人が多くて
実はスイカの方がいいじゃないかと思うよ
政治の話 「XZ Utils」にバックドア、オープンソースエコシステム全体の信頼を揺るがす事態に
https://forest.watch.impress.co.jp/docs/news/1580604.html
>「OpenSSH」をはじめ影響が広範囲に及ぶ点などが話題を呼び、オープンソースソフトウェアのサプライチェーンのあり方が問われる事態となっている。 >>638
このバックドア、「OpenSSHをはじめ」どころかsshを狙い撃ちのバックドアのようですね これ、たまたま変じゃね?って気づいたから良かったけど、同じようなことが発覚せずバックドアとして存在しているんだろうな CVE-2024-31497……
やっぱりRSAが安心だなw >>644
今回の件でいえば別物
署名60個ってのは60回ログインしてたらコンプされてる? >>645
乱数の規則性から60回分もあればバレるんだろうね
ちゃんとした疑似乱数使えよw 乱数を得るのにSHA-512を使ってた。P-256 P-384 には足りてたが P-521 には9bit足りないのを忘れてた。
ってことか。 一時的にスレ立て禁止にして乱立されたスレをサクッと消せばいいのに 真っ当な対策をしないのは運営がスクリプトと結託してると思われても仕方がない 利用者が荒らし対策出来る機能を追加しました!
機能を使うにはupriftを購入してね!
ってことか
錆びれる一方やな なぜオーナーは発信源突き止めて威力業務妨害で訴訟しない? 法人になったんだから告訴状出せば良いのにね
出来ない理由でもあるんだろうか 荒らし発生
↓
運営、動かず
↓
利用者、スレ保護のためにあちこちでageまくる
↓
運営、ageた奴を片っ端から規制する
って流れになったら面白いな
面白くねーよ 警察に通報しないのはどんぐり導入したい運営の自演だからじゃない?
普通に入れようとすると忍法帖廃止したのと整合性がつかないとかで >>647
そんな間抜けな理由なの?
SHA-512で何やってるのか知らんけど >>643
OpenSSHは9.5からssh-keygenがデフォルトで生成する鍵の種類がRSAからEd25519に変わったね やっぱSSHでポートフォワーディングだよね
あらゆるVPNを無効にする恐るべきエクスプロイト--20年以上前から存在か
tps://japan.zdnet.com/article/35218634/ dhcp option 121 は 127.0.0.1 宛もどっか別のホストを経由するように設定できたりするんだろか
特別なアドレスだからできないのかな? >>667
OS によるけど Linux とか大抵のやつだと 127/8 はデフォルトは lo scope なのでローカル限定。 >>643
自宅の環境は二年ぐらい前にEd25519に変えたけど、職場の方はsshdがEd25519に対応してないレガシーシステムがあるのでRSAのままだ ビット数少ないほうが計算コストかからないとは言うけど公開鍵を使うのは通信の最初だけだからそんな大して影響無いんじゃないの?と思ってしまうRSA4096教徒 >>671
間違ってはいない。
ただ最近は単純な今のコンピュターの計算時間強度だけでなくて、対量子コンピューター強度みたいなのも求められるようになってきてるので RSA はオワコンは動かない。 楕円曲線もショアのアルゴリズム?で量子コンピュータ相手には強度半減だったような