SSH その3

[0001 名無しさん＠お腹いっぱい。 NG NG]

SSHに関する情報交換のスレッドです。

FAQ、リンク集は >>2-5 あたり。

前スレ: http://pc.2ch.net/test/read.cgi/unix/1028157825/
前々スレ: http://pc.2ch.net/unix/kako/976/976497035.html

[0619 名無しさん＠お腹いっぱい。 NG NG]

次は4.0かな?
どんなセキュホが仕込まれるのか想像したらオラすっげえワクワクしてきたぞ。

[0620 名無しさん＠お腹いっぱい。 NG NG]

SHA の脆弱性関連？

[0621 名無しさん＠お腹いっぱい。 NG NG]

春山さんのとこチェックしる。
http://www.unixuser.org/~haruyama/security/openssh/henkouten_3.9.txt

[0622 名無しさん＠お腹いっぱい。 NG NG]

>>621
今回は無理に上げる必要はなさげですかね。

[0623 名無しさん＠お腹いっぱい。 NG NG]

>>612-613

詳細をキボリヌ

[0624 名無しさん＠お腹いっぱい。 NG NG]

アホな質問かもしれませんが教えてください。

sftpって、送るファイルそのものの安全制を確保するもので、サーバ側のIPフィルタなんかとは守る部分が違うものなんですか？
つまり、sftpで暗号化して送ったからって、ポートが開けっ放しじゃ意味無いよ、ってことなんでしょうか？併用するべきですか？

インターネットから会社のサーバにファイル転送したいんですが、IPフィルタがかかっていて、自宅PCは動的グローバルIPで何かと面倒なので、IPフィルタやめて、sftpでやったらセキュリティ的にどうにかならないもんだろうか、とちょっと思ったんですが･･･。

[0625 名無しさん＠お腹いっぱい。 NG NG]

>>611

うちにも同じようなログが残ってます。
sshd_configで「PasswordAuthentication no」にしてパスワード認証は無効に
しているはずなのですが・・

Failed password for root from ｘｘｘ.ｘｘｘ.ｘｘｘ.ｘｘｘ port 50000 ssh2

ってなっていて凄く気になります。詳しい方や何か情報をお持ちの方はいませんか？

[0626 名無しさん＠お腹いっぱい。 NG NG]

>>625
ばっか。

[0627 名無しさん＠お腹いっぱい。 NG NG]

Failed だよ何言っているんだッ!!＼（ﾟ∀ﾟ）ノ

[0628 名無しさん＠お腹いっぱい。 NG NG]

ちーとはｸﾞｸﾞれよ。

[0629 625 NG NG]

>>628

スミマセン・・
ｸﾞｸﾞってもそれなりに納得いく結果が得られませんでした。

[0630 名無しさん＠お腹いっぱい。 NG NG]

>>624
何言ってんの?

[0631 名無しさん＠お腹いっぱい。 NG NG]

>>625,629
ちっとは man sshd や man sshd_config しろよな。

[0632 名無しさん＠お腹いっぱい。 NG NG]

>>611,>>625他
http://www.st.ryukoku.ac.jp/~kjm/security/ml-archive/connect24h/2004.08/msg00030.html
早い話が、どこぞのバカが不正にログインしようとしてるってことです。不特定多数
に対する攻撃のようですな。


>>628　ググっても見つからなかった

[0633 名無しさん＠お腹いっぱい。 NG NG]

そりゃ探し方が悪い。
あるいは日本語のページしか探してないんだろ。

[0634 名無しさん＠お腹いっぱい。 NG NG]

http://www.bayashi.net/svr/doc/ssh.html
を、参考にしてるのですが
/root/.ssh/ の中には
id_dsa
id_dsa.pub
id_rsa
id_rsa.pub
しかないのですが、
identity.pub
identity
はどこにあるのでしょうか？？

それと
# /etc/rc.d/init.d/sshd start
と、入力したら
Generating SSH1 RSA host key: [ OK ]
Generating SSH2 RSA host key: [ OK ]
Generating SSH2 DSA host key: [ OK ]
Starting sshd: [ OK ]
と表示されるらしいのですが
Starting sshd: [ OK ]
しか表示されません。異常なのでしょうか？？

[0635 名無しさん＠お腹いっぱい。 NG NG]

釣りじゃないことを願うけど、前者は
$ man ssh-keygen
で-t typeのところを見ればわかるかと。

後者はサーバが起動するたびにサーバ鍵が変わると普通は困るので、
鍵の自動作成は初回のみ(厳密には鍵がない場合)しか行われないってこと。

# 件のページは古いので今となっては正確ではない。
# というかああいう個人サイトは絶対複数のサイトを見て参考程度に留めること。
# 基本は一次情報です

[0636 名無しさん＠お腹いっぱい。 NG NG]

>>635
identity.pub
identity
この二つはどのファイルに変わってるのか教えてくれませんか・・・？

[0637 名無しさん＠お腹いっぱい。 NG NG]

>>636
今もそのファイル。SSHプロトコル1でしか使われないけど。

[0638 名無しさん＠お腹いっぱい。 NG NG]

>>637
マジですか？？

/root/.ssh/ の中に
id_dsa
id_dsa.pub
id_rsa
id_rsa.pub
しかないのは、おかしいのでしょうか？
ちゃんと暗号キーを作成したと思ってたのですが・・・

[0639 名無しさん＠お腹いっぱい。 NG NG]

> ちゃんと暗号キーを作成したと思ってたのですが・・・
ちゃんとやってない香具師に限ってそういうことを言うような気がする。

ちゃんと man ssh-keygen した？
ちゃんと ssh-keygen -t rsa1 した？

＃ ていうか、そもそも、いまどき rsa1 は要らん気もする。

[0640 名無しさん＠お腹いっぱい。 NG NG]

>>633
例を示せ

＃ どうせ煽るためだけに来てるﾔｼだろうけどな


> あるいは日本語のページしか探してないんだろ。

　んなわけないだろアホ

[0641 名無しさん＠お腹いっぱい。 NG NG]

「ちゃんと」をNGワードにする事をお推めします。

[0642 名無しさん＠お腹いっぱい。 NG NG]

# ssh-keygen -t dsa
# ssh-keygen -t rsa
の二つしかやってません。

man ssh-keygen
は、今からやります。
ssh-keygen -t rsa1
は要らん気もするってことなのでやらないことにします。

[0643 名無しさん＠お腹いっぱい。 NG NG]

かのｽﾚで続きが見当たらないと思ってたら このｽﾚに来てたのか （藁

[0644 625 NG NG]

>>632

情報ありがとう御座います！

PubkeyAuthenticationだけしか許可してないに何故

input_userauth_request: illegal user test
Could not reverse map address xxx.xxx.xxx.xxx.
Failed password for illegal user test from xxx.xxx.xxx.xxx port xxxx ssh2
Received disconnect from xxx.xxx.xxx.xxx: 11: Bye Bye

こんな感じのログが残るのか不思議・・

[0645 名無しさん＠お腹いっぱい。 NG NG]

何が問題なんだ?
fail してるならいいじゃん。
つーか、FW なり tcp_wrapper なり AllowUsers なりで
接続元ホストを限定しとけよ。

[0646 名無しさん＠お腹いっぱい。 NG NG]

>644 大丈夫、本当にやばい時はlogすら残らないから。

[0647 632 NG NG]

>>644
sshdはsyslogを通してログを吐く。
そのログは auth.info のログだな。（facilityが"auth"でlevelが"info"ってこと。）

どれくらい詳しくログを吐かせるのかも sshd_config で設定できる。
SyslogFacilityとかLogLevelの項目がそれ。

あとはマニュアル sshd_config(5) を読むこった。3.8.1p1のものだけど、マニュアル
の日本語訳もあるから（http://www.openssh.com/ja/manual.html）、それを参考にすれば
いいさ。

>>645の言う通り、それで問題ないだろ。
　・「不正に」ログインしようとした奴がログインに失敗した
　・そもそも許可されていない方法（パスワード認証）でログインしようとし
　　て本当にログインに失敗した
ってだけなんだからな。

　　　勉　強　し　ろ　ー　！！

[0648 632 NG NG]

許可されていない方法（>>625の場合ではパスワード認証）でログインしようと
して本当にログインに失敗した場合もログに残すという仕様になっているんだ
よね、sshdは。

[0649 名無しさん＠お腹いっぱい。 NG NG]

ログの意味分からないやつがログを見てもねぇ……。

実はあちこちにクラックの痕跡が残ってたりして。

[0650 名無しさん＠お腹いっぱい。 NG NG]

SSHの商標問題って最終的にどうなったの？

[0651 名無しさん＠お腹いっぱい。 NG NG]

SSHの解説で一番わかりやすいのどこー？
参考にしてるサイトは少し内容が古いせいか知らないが
自分がやってる全然違う。最終更新日が二年前だったから？

[0652 名無しさん＠お腹いっぱい。 NG NG]

>>651
OpenSSHのなにについての解説かしらんけど
ttp://www.openssh.com/ja/
まずはここ見て、わからんところをググればいいとおもう。

[0653 名無しさん＠お腹いっぱい。 NG NG]

ごめん、OpenSSHじゃなくてSSHか。↑のは無視してください

[0654 名無しさん＠お腹いっぱい。 NG NG]

SSHとOpenSHHってどこが違うの？？

[0655 名無しさん＠お腹いっぱい。 NG NG]

>>654
いろいろ

[0656 名無しさん＠お腹いっぱい。 NG NG]

いろいろってどこが？？

[0657 名無しさん＠お腹いっぱい。 NG NG]

角度とか。

[0658 名無しさん＠お腹いっぱい。 NG NG]

>>654のOpenSHHって何だ？

[0659 名無しさん＠お腹いっぱい。 NG NG]

当たり具合とか。

[0660 名無しさん＠お腹いっぱい。 NG NG]

一番使われてそうなんだけど以外と延びないｽﾚだね

[0661 名無しさん＠お腹いっぱい。 NG NG]

>>660
別にアレコレと設定が必要でもないからね

[0662 名無しさん＠お腹いっぱい。 NG NG]

SSHで作った鍵だけど、LAN上のPCに送る方法とかない？
やっぱりフロッピーに入れて移動させるしかない？？
フロッピー指すところがマザーにないんだけど・・・

[0663 名無しさん＠お腹いっぱい。 NG NG]

1. USBメモリ
2. scp/sftp (パスワード・経路は最低限ではあるが暗号化される)

[0664 名無しさん＠お腹いっぱい。 NG NG]

>>662
そのLAN上のPC上でopensslでキーペア作って公開鍵をSSHの鍵があるところまで送る、
SSHの鍵を公開鍵で暗号化してLAN上のPCに送る。復号する。以上

[0665 名無しさん＠お腹いっぱい。 NG NG]

sshの秘密鍵を移動する必要はないでそ?
公開鍵は平文でも問題ないし。

[0666 名無しさん＠お腹いっぱい。 NG NG]

>>656
ダメージとか

[0667 名無しさん＠お腹いっぱい。 NG NG]

>>665
公開鍵はどうやって移動する?

[0668 名無しさん＠お腹いっぱい。 NG NG]

>>667
まだ鯖を立てようとしてる段階なのでわからないです。
http://fedora.zive.net/openssh.shtml
を参考に鯖を立てようとしています。
秘密鍵はどういう風に使えばいいのかいまいち理解できておりません（汗

[0669 名無しさん＠お腹いっぱい。 NG NG]

（汗
（汗
（汗
（汗
（汗
（汗
（汗
（汗

[0670 名無しさん＠お腹いっぱい。 NG NG]

>>667
端末間でコピペ
メール
2chに書く

[0671 名無しさん＠お腹いっぱい。 NG NG]

歌う

[0672 名無しさん＠お腹いっぱい。 NG NG]

>>667 はネタでしょ。

[0673 名無しさん＠お腹いっぱい。 NG NG]

公開鍵移すのにパスワード平文で流したりはするなよ。

[0674 名無しさん＠お腹いっぱい。 NG NG]

>>673
パスワード認証だと平文で流れると未だに勘違いしてる馬鹿ハケーン

[0675 名無しさん＠お腹いっぱい。 NG NG]

>>673
は？公開鍵って別にとられてもいいんだけどネタ？

[0676 名無しさん＠お腹いっぱい。 NG NG]

>>674
そのくらいはわかっとるよ。
TELNET とか FTP で移すなよ、と。

>>675
パスワードって書いてあるの読めなかった?

[0677 名無しさん＠お腹いっぱい。 NG NG]

>>676
(ﾟДﾟ)ﾊｧ?

[0678 名無しさん＠お腹いっぱい。 NG NG]

telnet/ftpでログインするときにパスワードが平文で流れる
ってことが言いたいんだろ。

一発目の公開鍵をコピーするときはsshdをパスワード認証にしておいて
コピー後に鍵交換認証に変更する、でいいんじゃない。

[0679 名無しさん＠お腹いっぱい。 NG NG]

>>676
言い訳苦しすぎ ﾌﾟｷﾞｬﾗﾋﾋ

[0680 名無しさん＠お腹いっぱい。 NG NG]

インストールしてから最低限すればいいコマンド教えてください

[0681 名無しさん＠お腹いっぱい。 NG NG]

↓ >>680 へお約束レスをどうぞ。

[0682 名無しさん＠お腹いっぱい。 NG NG]

シェルスクリプトからSCP使ってサーバへデータコピーしてんだ
が、転送中にサーバが死んでもコマンド終了しません。
ボスケテ〜

[0683 名無しさん＠お腹いっぱい。 NG NG]

>>680

>>681お言葉に甘えまして・・
まずrootでログインして「rm -rf /」のコマンドを実行してください。

[0684 名無しさん＠お腹いっぱい。 NG NG]

PermitRootLogin = no じゃないのか。

[0685 名無しさん＠お腹いっぱい。 NG NG]

>>683
Linuxだったら
shred /dev/hda
とかもいいよね。

[0686 名無しさん＠お腹いっぱい。 NG NG]

rootでログイン許可しないほうが(・∀・)ｲｲ!!って書いてるサイトあるけど
LAN以外のPCからアクセスできないようにしてても危ないの？？

[0687 名無しさん＠お腹いっぱい。 NG NG]

>>686
許可してるより許可しないほうが比較的(・∀・)ｲｲ!!のは議論するまでもない。
どうしてもしなきゃならんようなものでもないし。

[0688 名無しさん＠お腹いっぱい。 NG NG]

rootを許可してもパスワードと秘密鍵がなければログインできないからいいんじゃない？？
こんな考え方の漏れは甘い？？？

[0689 名無しさん＠お腹いっぱい。 NG NG]

root でいきなり入ると誰がアクセスしたの分からなくなるだろ。

[0690 名無しさん＠お腹いっぱい。 NG NG]

漏れしか使用してないわけで。

[0691 名無しさん＠お腹いっぱい。 NG NG]

>>686 >>688 >>690
好きにすりゃええやん。

[0692 名無しさん＠お腹いっぱい。 NG NG]

LAN上からしか利用しないならTELNETでもいいよな？？
IPで制限しちゃえばいいことだし・・・

[0693 名無しさん＠お腹いっぱい。 NG NG]

そのマシンへのアクセスはLANからしかできないとしても、
そのLANに繋がっている他のマシンもそうとは限らないわけで

[0694 名無しさん＠お腹いっぱい。 NG NG]

こうして踏み台が作られていくのであった

[0695 名無しさん＠お腹いっぱい。 NG NG]

telnetだとパスワード毎回入力せなあかんから
LANでもログインには使わない。
いまとなっては23番ポート以外に使う方が多そう。

[0696 名無しさん＠お腹いっぱい。 NG NG]

そういう問題じゃなくてなぜSSHじゃないといけないのか，
なぜtelnetは危険なのかその理由を考えれば自ずと答えは出るはずだが?

[0697 名無しさん＠お腹いっぱい。 NG NG]

なんでこんなレベル低いの？

[0698 名無しさん＠お腹いっぱい。 NG NG]

2chだから

[0699 名無しさん＠お腹いっぱい。[ NG NG]

cron からrsyncで鯖の中身をバックアップ機に吸い上げたい、と。んで、

鯖の　/etc/.../sshd_configでは　PermitRootLogin forced-commands-only
にして、同じく鯖の　/root/.ssh/authorized_keys2には
command="rsync --server --sender -bulogDtprz --delete . /var/www/" ssh-rsa AAA...
と書いておくと。

これでバックアップ機からの
# rsync -auzb -e ssh --exclude='*~' --delete saba.com:/var/www/ /var/www
は動く、と。それは良いのです。

が、/var/www以外のディレクトリも同様にrsyncできるようにしたいとすると、
authorized_keys2にはどうやっとけば良いんでしょうか？単に同じpub keyをこぴぺして
command="rsync --server --sender -bulogDtprz --delete . /var/ftp/" ssh-rsa AAA..
みたいのを追加したんだけどは駄目なんですわ。最初に書いた/var/wwwのほうしか動かない。

これって、
command="rsync --server --sender -bulogDtprz --delete . /" ssh-rsa AAA...
とでもしておいて、とりあえず全部rsyncできるようにしておいて、いらないものを除外するために
長ーーーい Excludeリストを使え、つうことですか？

[0700 名無しさん＠お腹いっぱい。 NG NG]

シェルスクリプトをつかうとか

[0701 699 NG NG]

>>700 どうも。wrapperにしないと駄目みたいですね。
鯖 saba.comに/root/remote-rsyncとか適当な名前のファイルを作って、

#!/bin/sh
if echo $SSH_ORIGINAL_COMMAND|grep -e "^rsync " >/dev/null 2>&1; then
$SSH_ORIGINAL_COMMAND
else
echo "No access. Sorry."
fi

としておく。ほんで、同じく鯖の/root/.ssh/authorized_keys2のほうは、

command="/root/remote-rsync" ...key...

としておく。そうするとバックアップマシンのrootから

# rsync -auzb -e ssh --exclude='*~' --delete saba.com:/どこでも/ /どこでも

がめでたく実行可能になりますた。OpenSSHのこのあたりのdoc、えらいわかりにくくて
難儀しますた。

[0702 名無しさん＠ＸＥｍａｃｓ NG NG]

>>701
> # rsync -auzb -e ssh --exclude='*~' --delete saba.com:/どこでも/ /どこでも
>
> がめでたく実行可能になりますた。

うーん、たしかにそれはそうだろうけど、

> #!/bin/sh
> if echo $SSH_ORIGINAL_COMMAND|grep -e "^rsync " >/dev/null 2>&1; then
> $SSH_ORIGINAL_COMMAND
> else
> echo "No access. Sorry."
> fi

これだとたぶん逆方向の rsync もできると思うので、事実上何も制
限してないに等しい気がする。

素直に rsync server を使うのが吉では (873/tcp を開けるのがヤ
なら over ssh で rsync server 起動することもできる)。

[0703 名無しさん＠お腹いっぱい。 NG NG]

>>702 御意。

$ rsync -auzb -e ssh --exclude='*~' --delete saba.com:/どこでも/ /どこでも

とローカルで起動すると、鯖で動くのは

$ rsync --server --sender -bulogDtprz --delete . /home2/どこでも/

だから、鯖上の/root/.ssh/authorized_keys2で

#!/bin/sh
if echo $SSH_ORIGINAL_COMMAND|grep -e "^rsync --server --sender " >/dev/null 2>&
1; then
$SSH_ORIGINAL_COMMAND
else
echo "No access. Sorry."
fi

とでもすれば良い。これで逆方向rsyncは不可になる。

[0704 名無しさん＠ＸＥｍａｃｓ NG NG]

>>703
> とでもすれば良い。これで逆方向rsyncは不可になる。

いや、まぁ、それはそうなんだけど、それは document 化されてい
ない現行 rsync の振舞に依存しているわけだし、吸い出し only だ
としてもなんでもかんでも吸い出されて構わんというわけでもなか
ろうし、かといってさらに script の中で吸い出し可の領域をチェッ
クするなどと言い出したら繁雑でどうしようもなかろうし、という
ことで、

>>702
> 素直に rsync server を使うのが吉では (873/tcp を開けるのがヤ
> なら over ssh で rsync server 起動することもできる)。

だと思うわけよ。

[0705 703 NG NG]

>>704 コメントありが豚。
man rsyncd.conf読みますた。たしかに
use chrootできたり、pathが指定できたり、
こっちのほうがが遥かに良いね。873/tcpは
開けたくないので、over ssh 逝きます。

[0706 名無しさん＠お腹いっぱい。 NG NG]

Puttyが文字化けしていて困っています
日本語パッチはあたっていると思うのですが、
フォントの選択？が間違っているのかもしれません。

解決方法をご存知のかたよろしくお願いします

[0707 名無しさん＠お腹いっぱい。 NG NG]

>>706
いまどきの文字化けの原因は、
フォントがサポートしていない文字セットを使ってる他に
期待している文字セットやエンコーディングとの相違があります。

接続先の環境をしらべてみてください。
Unix系OSなら
$ env | grep LANG
でわかるはずです。
そしてPuTTYの設定をすみからすみまで確認してください。

エスパーではないのでこれ以上はわかりません。
でもスレちがいの予感はします。

[0708 706 NG NG]

すみません、Putty自体が文字化けしています。（チェックボックスなど）
エクスプローラのような部分はきちんと表示されています。

[0709 名無しさん＠お腹いっぱい。 NG NG]

予感的中
ttp://pc5.2ch.net/test/read.cgi/unix/1084686527/46-

[0710 706 NG NG]

>>709
ありがとうございました！！

[0711 名無しさん＠お腹いっぱい。 NG NG]

>>611
rootはlogin許可しないだろう、普通。

[0712 名無しさん＠お腹いっぱい。 NG NG]

>>711
ところがFedoraはデフォルトで許可な罠

[0713 名無しさん＠お腹いっぱい。 NG NG]

SUSEもデフォルトで許可な罠
パスワードログインだって出来ちゃうよ

[0714 名無しさん＠お腹いっぱい。 NG NG]

>>713
Debian も・・・

[0715 名無しさん＠お腹いっぱい。 NG NG]

Linux って標準インストール（そういうものがあるのか知らんが）に ssh が入っているの？
入っているのに許可しまくりじゃ怖いな

[0716 名無しさん＠お腹いっぱい。 NG NG]

>>715
Debian は、標準でインストールされるが、sshd をたちあげるかどうかは選べる。
Fedora は、標準でインストールされるが、sshd はデフォルトでは起動しない。

[0717 名無しさん＠お腹いっぱい。 NG NG]

どんな大手ディストリビューションもOpenSSHが入っていてsshdが設定の有無はあるにせよ起動可能。
*BSDも同様。

[0718 名無しさん＠お腹いっぱい。 NG NG]

>>717
なにを寝ぼけたことを言っているのやら。