SSHの鍵生成には暗号論的に安全な疑似乱数を使おうという話。 暗号論的に安全ではない疑似乱数がどれだけ危険かというのを、簡単なCTFを解くことで検証してみました。 背景 SSH公開鍵に自分の好きな文字列を入れる、という記事を読みました。 かっこいいSSH鍵が欲しい 例えばこのSSH公開鍵、末尾に私の名前(akiym)が入っています。 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIFC90x6FIu8iKzJzvGOYOn2WIrCPTbUYOE+eGi/akiym そんなかっこいいssh鍵が欲しいと思いませんか？ かっこいい！真似してみたい！ そこまではいいんですが、問題は実装です。 秘密鍵を生成する際の乱数生成には高速化のために Goのmath/randを使っていますが、乱数が用いられるのは公開しない秘密鍵自体であり、このアルゴリズム自体はLagged Fib
Development Division/Platform Team/Sys-Infra Unitの伊豆です。Sys-Infra Unitはインフラエンジニア・SRE 的な役割を担っています。 今回は、ある日突然SSHログインが遅くなったときに調査した内容を共有します。 SSHログインに数分かかる ある日、AWS EC2上で動いている開発環境のSSHゲートウェイにSSHログインすると30秒以上かかると報告がありました。-vvvオプションを指定してSSHログインしてみるとpledge: filesystemというログが出力された後、数十秒から数分程度かかってSSHログインが成功する状況でした。 pledge: filesystemやssh slowなどで検索してみると、主に以下のような対処法が挙げられていましたがどれを試しても状況は改善されませんでした。 systemd-logindを再起動
先日、ディスク故障でデータ復旧させたBUFFALOのNAS TeraStationですが、同一機種の古いものがいくつかあったので合わせて買い替えました。
何を言っているんだと思われるかもしれないですが、気軽にパスワードの1文字目に「~」を使わないほうがいいというお話です。 起こった問題 踏み台サーバー経由でサーバーAに接続して作業をしていた時の話です。 いわゆる多段 ssh 接続というもので、リモートワークになってからは結構使われる方も多いかと思います。 サーバーA上で root 権限になろうと sudo su - してパスワードを入力したら Connection to xxx.xxx.yyy.zzz closed. の文字とともにサーバーAから追い出されてしまいました。 なにかの間違いだろうと何度か挑戦していたのですが、結果はサーバーAから切断され踏み台サーバーに戻る羽目に。。。 そのときに入力していたパスワードが ~.xxxxxxxxxx のような ~ から始まるものでした。 調査 ~ って何か意味があったよなーと思ってどう調べようかと
セッションマネージャー越しにSSHアクセスする構成のメリットについて考えてみました。 なにそれ？ 公式ドキュメントでいうと以下内容のことです。 Step 8: (Optional) Enable SSH connections through Session Manager もう少し詳しく まず、クライアントはセッションマネージャーを使ってアクセスしたいインスタンスにアクセスします。 もう少しこの部分を具体的に説明すると、クライアントがアクセスしているのはインスタンスではなく、SSM(Systems Manager)のエンドポイントです。 そして、アクセス先インスタンス内のSSM Agentがポーリングアクセスしていて、こちらを通じてアクセスしています。 そして、この接続の先で、SSH接続し直しているイメージになります。これが今回扱う「セッションマネージャー越しにSSHアクセス」です。 わ
ssh-rsa，非推奨のお知らせ
2020-05-28T14:11+9:00 追記 これは SHA-1 を用いた RSA 鍵についての話で，OpenSSH 7.2 以降で生成・利用される RSA 鍵はまだ利用可能です 2020-05-28T19:27+9:00 追記 既に生成されている RSA 鍵でもホスト・クライアントの両方が OpenSSH 7.2 以降ホスト・クライアントの両方が OpenSSH 7.2 以降，ただしサーバー側は OpenSSH 7.4 以外であれば SHA-2 で署名するので大丈夫なようです。（OpenSSH 7.4 はバグがあるようです） ssh-rsaという名前は"公開鍵の形式"と"公開鍵を使った署名方式"の二つで使われていて、廃止対象となっているのは署名方式の方だけです。なのでOpenSSH 7.2以降を入れれば、鍵自体は古いOpenSSHで生成した物がそのまま使えます。 — いわもと こうい
9年ほど前にこういうエントリを書いたのですが、まだそれなりに見られているようなので、最近はどうなのかなーと、再検証・再計測してみたエントリーです。 ↑の過去エントリにも記載しているのですが、SSH/SCP では暗号化方式（強度）によってファイル転送のスループットが変わります。 もちろん、オープンなネットワークでやるにはセキュリティがー、とか、インターナルでやるなら、そもそも netcat (nc) でいいやんー、とか、そもそも大量にファイル数あるなら、事前に固めてしまえー、とか色々あると思うのですが、本エントリではあくまで暗号化方式 の違いでスループットがどう変化するのか、それはどのくらいスループットが出るのか、を確認したログとなります。 ベンチマークで利用した環境 Google Compute Engine (GCE) の インスタンス (n1-highcpu-4) を2台準備しました
SSH不要時代がくるか!?AWS Systems Manager セッションマネージャーがリリースされました! AWS Systems Mangerに新機能 セッションマネージャーが追加されました! この機能はマネジメントコンソール上からEC2インスタンス内のbash・PowerShellを実行できる機能です｡操作ログをS3・CloudWatch Logsに保存することも可能です｡ はじめに おはようございます､加藤です｡す...すごい機能がリリースされました!AWS Systems Mangerの新機能でセッションマネージャーという機能です｡ 一言で言えば､｢EC2インスタンスにSSH・RDPで接続せずにブラウザ上からCLI操作ができる機能｣です｡ブラウザがSSHクライアントとして動作している訳でなく､制御はSSMによって実現されています｡ セキュリティグループのインバウンド設定や踏み台
今回は、ユーザが接続先を意識しないSSHプロキシサーバを作った話です。 SSHのユーザ名から動的に接続先ホストを決定し、SSH接続をプロキシします。 github.com 作った背景 比較的規模の大きなサーバ群を管理しており、そこに対して接続してくるユーザに特定のサーバを使ってもらいたい場合を考えます。 すなわち「ユーザtsurubeeには、ssh102サーバを使ってほしい」といったようにユーザとマシン間が紐づいている場合の一番単純な運用方法は、個々のユーザが接続先ホストの情報を知っていることです。 これでも問題ないのですが、何かしらのサーバ管理の理由でユーザに使ってもらいたいサーバが変更した場合、ユーザに通知するなどして意識的に接続先を変更してもらう必要があります。 このようなユーザとそのユーザに使ってもらいたいサーバの紐付け情報をサーバ管理側が一元的に管理して、ユーザに意識させることな
rsync とは、いわゆるファイル同期ソフトです。Linux/UNIX 上のデーターを（別の Linux/UNIX マシンに）バックアップしたり、２つのマシンのあるディレクトリどうしの内容を同期するのによく使用されます。 ここでは、OpenSSH (+ OpenSSL) を併用して、他の Linux サーバーへ簡単に高速にバックアップする方法を紹介します。 (rsync はデフォルトでは rsh を利用します) 前提条件として ・・・ バックアップ元、バックアップ先のマシンの両方に、rsync 及び OpenSSH (+ OpenSSL) がインストールされており、その後バックアップ元からバックアップ先のマシンに ssh で公開鍵方式によりログインできる環境になっていることが必要です。 （ssh を利用しない場合は rsh でログインできる必要があります） また、rsync を --dea
Windowsを使用している開発者の方々は、LinuxサーバにSSH接続する場合にTeraTermをよく使われるかと思います。 そのTeraTermで、効率的にファイル転送（Windowsクライアント → Linuxサーバ、Linuxサーバ → Windowsクライアント）を行う方法を紹介したいと思います。 Windowsクライアント → Linuxサーバにファイル転送 Windowsからファイルを転送する場合はとってもシンプルで、以下のような手順になります。 転送したいファイルをTeraTermのウィンドウに向けてドラッグ＆ドロップ 「Tera Term: ファイル ドラッグ＆ドロップ」ウィンドウの「SCP:」欄に、以下のように入力 SCP: 転送先にするLinux上のパスを入力 「SCP」ボタンをクリック Linuxサーバ → Windowsクライアントにファイル転送 TeraTerm
SSHとは SSHとは、セキュアな通信を行うためのプロトコルです。 たとえば、HTTP。HTTPを通してブラウザからWebサイトにアクセスし、 コンテンツを閲覧したりWebアプリを利用したりします。 この「HTTP」というのもプロトコルの一種です。 HTTPもSSHもOSI参照モデルと呼ばれる層の最上位、アプリケーションレイヤーに位置しています。 なお、よく聞く「OpenSSH」とは、このSSHのプロトコルを実現するための 有名なソフトウェア（プログラム）のひとつです。 FTPのプロトコルで言うFileZillaとか、そういったイメージです。 このSSHを使うと、リモートサーバに安全にログインできたり、 ファイルをセキュアに送受信することができたりします。 SSHは「Secure Shell」の訳で、リモートシェルに特化しています。 公開鍵認証という仕組みを用いて、セキュアな通信を実現して
1000台同時SSHオペレーション環境を構築するにあたって、手元のローカル環境の性能限界の問題を解決するために、オペレーションサーバをSSHクライアントとすることによりSSH実行を高速化した。実行環境としてDocker、レジストリとしてAmazon ECR(EC2 Container Registry)を用いて、ローカル環境とオペレーションサーバ環境を統一することにより、オペレーションサーバの構成管理の手間を削減した。 はじめに システム構成 実装上の工夫 オペレーションサーバ越しのroot権限実行 rawモジュールとscriptモジュールのみの利用 Ansibleの実行ログのGit保存 まとめと今後の課題 はじめに 3年前に Ansible + Mackerel APIによる1000台規模のサーバオペレーション - ゆううきブログ という記事を書いた。 この記事では、ホストインベントリと
SSH で他所のサーバに接続したとき、ターミナルの背景色を変えたくなりませんか？ ぼくはなります。 正道（よくある方法） iTerm2 にはプロファイルという機能があって、 予め作成しておくと、背景色以外にもいろいろと変更できます。 今回は扱いません。 邪道（趣味の領域） そもそも何故こういうことをしたいと思ったかというと、 自分の手元だと思ってコマンド打ったら SSH でログインしたお客さまの環境だった、という事故を起こしたくないからです。 「お客さまの環境へログインする場合はこう」、と作業手順を変えるのが本来の姿ですが、 結局のところ思い違いによるミスは防げませんし、 結果として両方の環境を整備しなくてはならなくなり、手間が増え、設定のミスマッチによる事故を起こしたり、そもそも（あきっぽい自分の性格的に）きっと整備しなくなる・・・という恐れもありました。 ssh サーバ名と実行したら、
![[macOS] SSHログインしたときだけターミナルの背景色を変えたい (iTerm2) | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/016a3950f9fb5be412bbd53926370340688cf817/height=288;version=1;width=512/https%3A%2F%2Ffanyv88.com%3A443%2Fhttps%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2017%2F11%2Feyecatch_iterm2.png)
Anniversary Updateで動作環境が整った OpenSSHは、Secure Shellプロトコルを利用するためのオープンソースソフトウェア。OpenBSDプロジェクトが開発の中心を担う。このOpenSSHには、SSHクライアント／サーバーの両方が含まれるが、GUIアプリではなく、コンソールウィンドウの中で実行するコマンドラインプログラムである。 OpenSSHは以前より存在していてWindowsでも利用できたのだが、Windows側に問題があってSSHクライアントとしての利用が制限されていた。 というのも、Windows 8まではコンソールウィンドウ内のエクスケープシーケンスがサポートされておらず、たとえばLinuxマシンに接続したとしても、Linuxアプリケーション側からは、画面制御が行えない「ダム端末」として使わざるをえず、たとえばスクリーンエディタなどを使うことができなか
Secure Shell(SSH)は安全にリモートコンピューターと通信するためのプロトコルで、当時、学生だったTatu Ylonen氏が開発した技術です。SSHのデフォルトのポートは「22」番が指定されていますが、22番に決まった経緯について、当時のメールを使ってYlonen氏が明らかにしています。 SSH Port https://www.ssh.com/ssh/port 1995年にフィンランドのヘルシンキ工科大学の学生だったYlonen氏は、別のマシンに安全に接続するためのプログラムを書いていました。当時、リモートホストのシェルを利用する既存のプロトコルとしてTelnetやFTPがありましたが、いずれもパスワードを平文でネットワーク上に送信しているため、セキュリティ面に難がありました。そこで、Ylonen氏は、TelnetやFTPに代わるプログラムを設計しようと考え、「Secure
こんにちは。大阪の市田です。 今回は、下記のブログの内容を元に、踏み台サーバ経由のSSHセッションを記録する方法をご紹介します。 How to Record SSH Sessions Established Through a Bastion Host | AWS Security Blog 尚、踏み台サーバはAmazon Linuxを想定しています。 ポイント この記事のポイントは下記です。 OpenSSHの設定の修正 scriptコマンドの利用 踏み台サーバユーザの権限制限 ログファイルのS3保管 S3による踏み台サーバユーザの自動管理 SSHのエージェントフォワード利用 CloudFormationで環境構築 それでは順に説明していきたいと思います。 構成 想定の構成は下記の通りです。 ログファイルのディレクトリ作成 まずは、踏み台サーバにログの保存ディレクトリを作成し、アクセス制限
私はかつて、 ssh-chat というプログラムを書きました。 ssh http://t.co/E7Ilc0B0BC pic.twitter.com/CqYBR1WYO4 — Andrey ???? Petrov (@shazow) December 13, 2014 アイデアは単純なもので、ターミナルを開いてこのようにタイプするだけのことです。 $ ssh chat.shazow.net たいていの人はこの後に続けてlsコマンドをタイプするのでしょうが、ちょっと待って。よく見てください。そこにあるのはシェルではなく、なんとチャットルームですよ！ 詳しいことはわからないけど、何かすごいことが起こっているようですね。 SSHはユーザー名を認識する sshでサーバーに接続するときに、sshクライアントはいくつかの環境変数をサーバーへの入力として渡します。その中のひとつが環境変数$USERです。
リリースされたばかりのWindows10 Anniversary updateを適用しました。 目当てはBash(Ubuntu) on Windows。早速開発者モードを有効にしてセットアップ！ どれどれ、ほかに変わったところは無いかな。 ん・・・！？ SSH Server Broker、SSH Server Proxy is 何？ ためしに管理者のユーザー名、パスワードを入力して、ポチッとな！ コマンドプロンプトが使えました。 ア カ ン v4/v6 Listen、ファイアウォール全許可 ローカルListenしているだけで、ネットワーク越しには使えないよね常識的にかんｇ・・・ 0.0.0.0:22、[::]:22でListenしている。 Windows Firewallの様子はどうかと思うと・・・ 全許可。なんということでしょう。 Bash on Windows利用時は注意 目玉機能の一
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
