SSH その5
■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。
2006/04/20(木) 07:09:00FAQ、リンク集は >>2-5 あたり。
過去ログ
Part1：http://pc.2ch.net/unix/kako/976/976497035.html
Part2：http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
Part3：http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
Part4：http://pc8.2ch.net/test/read.cgi/unix/1102242908/
0372名無しさん＠お腹いっぱい。
2006/09/30(土) 13:33:20sshプライベートキーのパスフレーズとログインパスワードを一致させる。
0373名無しさん＠お腹いっぱい。
2006/09/30(土) 14:18:26Sep 30 14:12:43 hogehoge.net sshd(pam_unix)[2192]: authentication failure; logname= uid=0 euid=0 tty=NODEVssh ruser= rhost=XXX.XXX.XXX.XXX user=Hogehoge
Sep 30 14:12:45 hogehoge.net sshd(pam_unix)[2194]: session opened for user Hogehoge by (uid=500)
といったように必ず1行目のNODEVsshで認証に失敗しています。
これを起こらないようにするttsshの設定をご存じの方はいらっしゃいますでしょうか？
0374名無しさん＠お腹いっぱい。
2006/09/30(土) 14:39:51自己レスです
上記の認証エラーが発生するのはサーバがRedhat9の場合のみでRedhat7.3では発生していないのでサーバ側の問題かと思います
0375307
2006/09/30(土) 15:01:50sudo grep -R pam_ssh /etc/*
しましたが、特にpamの設定はされていないようです。
パスフレーズとログインパス一緒にしても変わりませんでした。
むむむ。
0376307
2006/09/30(土) 15:18:27念のため、/etc/hostsにホスト情報書いたら、
普通にすばやくログインできるようになりました・・・なんでだろ('A`)
いろいろ、ご迷惑かけてしまいました。
ありがとうございました。
0377名無しさん＠お腹いっぱい。
2006/09/30(土) 15:20:00grep は -i つけなきゃいかんよ。
0378307
2006/09/30(土) 15:22:54/etc/resolv.confから死んだDNSサーバーをはずして、生きているセカンダリだけにしたら、
ふつーにサクッとログインできました orz
0379名無しさん＠お腹いっぱい。
2006/09/30(土) 16:00:11>>310-311 が即回答してるのに、そんなオチが許されるとでも、、、
0380名無しさん＠お腹いっぱい。
2006/09/30(土) 16:02:590381365
2006/09/30(土) 19:29:390382名無しさん＠お腹いっぱい。
2006/10/01(日) 22:30:560383名無しさん＠お腹いっぱい。
2006/10/02(月) 02:07:06からリンクされている www.mindrot.org って死んでるの?
MLのアーカイブが見られなくて困ってるんですけど...
0384名無しさん＠お腹いっぱい。
2006/10/02(月) 04:32:44lists.mindrot.org にリダイレクトされるよ。
0385名無しさん＠お腹いっぱい。
2006/10/03(火) 23:33:44どうなっているんでしょうね。
osshChroot-4.3p1.diffで当面はしのげると思いますが。
0386名無しさん＠お腹いっぱい。
2006/10/05(木) 01:19:58なにかいい方法はありますか？ cygwinを使っています。
試したこと(opensslでsshの公開鍵を使えるかどうか試した)
$ cat ~/.ssh/id_dsa.pub
ssh-dss (中略) xxx@xxx
$ openssl rsautl -pubin -inkey ~/.ssh/id_dsa.pub -in test -encrypt -out test.enc
unable to load Public Key
0387名無しさん＠お腹いっぱい。
2006/10/05(木) 01:51:09DSAって認証のみにしか使えないんじゃ？
RSAなら復号にも使えるはずだけど、OpenSSHのssh-agentは
認証のみにしか使えない実装になってた。
商用のssh-agent2の方はそのような事に使えそうな機能が入ってたが。
0388名無しさん＠お腹いっぱい。
2006/10/05(木) 10:50:420389名無しさん＠お腹いっぱい。
2006/10/05(木) 14:51:35復活しましたね。
0390386
2006/10/06(金) 02:02:46商用ソフトを使う予定はないのですが、なにか簡単な方法はないでしょうか。
自分でssh-agentに復号させるようなツールを作るしかないのでしょうか。
あと、ssh-keygenで作った公開鍵をopensslで直接読み込めないのですが、
何か間違っているのでしょうか。
やったこと
$ cat ~/.ssh/id_rsa.pub
ssh-rsa AAAA(中略) xxx@xxx
$ openssl rsautl -encrypt -pubin -inkey ~/.ssh/id_rsa.pub -in a.txt -out a.txt.
enc
unable to load Public Key
ssh-keygenで作った公開鍵は、そのままじゃ読めない
$ openssl rsa -pubout -in ~/.ssh/id_rsa -out public.pem
Enter pass phrase for /home/xxx/.ssh/id_rsa:
writing RSA key
ssh-agentが常駐してるけど、パスフレーズは聞かれてしまう。
ssh-keygenで作った秘密鍵を読んで、公開鍵を出力することはできる。
$ openssl rsautl -encrypt -pubin -inkey public.pem -in a.txt -out a.txt.enc
opensslで作り直した公開鍵なら暗号化できる
$ openssl rsautl -decrypt -inkey ~/.ssh/id_rsa -in a.txt.enc
Enter pass phrase for /home/xxx/.ssh/id_rsa:
asdfag
パスフレーズが聞かれるけど、ssh-keygenで作った秘密鍵ならopensslで使える。
0391名無しさん＠お腹いっぱい。
2006/10/06(金) 03:47:09> なにか簡単な方法はないでしょうか。
簡単な方法は無いと思う。
自分で作る気なら、役にたちそうなパッチとかはあるけど。
# それだけではまだ無理って事。
0392名無しさん＠お腹いっぱい。
2006/10/09(月) 15:12:04ていうか正解を教えてください
さっぱりわかりません
接続元をZ、ホストがABとあり
Z→Aは 22/tcp、A→Bも 22/tcpのみしか開いていない状況で
Bの80/tcpに接続したいのですが
A,Bの.ssh/configには、なにをどう書けば実現できるのでしょうか？
Zで使用している portforwarder の config.txtには
Host ZtoB
HostName A
User hoge
LocalForward 8080 A:8080
と記述し、Zのproxyとしてlocalhost:8080を使おうと思っています
どなたか教えてください
よろしくお願いします
0393名無しさん＠お腹いっぱい。
2006/10/10(火) 06:33:48とかじゃないか?
0394名無しさん＠お腹いっぱい。
2006/10/12(木) 18:08:22切れないようにするにはどこを設定すればよいのでしょうか？
0395名無しさん＠お腹いっぱい。
2006/10/12(木) 22:01:11ssh keepalive で検索
0396名無しさん＠お腹いっぱい。
2006/10/12(木) 22:02:580397名無しさん＠お腹いっぱい。
2006/10/13(金) 00:13:510398名無しさん＠お腹いっぱい。
2006/10/13(金) 00:18:250399名無しさん＠お腹いっぱい。
2006/10/14(土) 03:42:050400名無しさん＠お腹いっぱい。
2006/10/15(日) 04:39:23こんなところでdebianの勝手パッチの弊害がｗ
0401素人で本当にすみません
2006/10/15(日) 04:54:19DSNサーバを立ち上げていない状態で、SSHでのローカル内へのログイン(ipアドレスでの接続)に一分程かかってしまう
のですが、何故こんなに遅いのか分からないのです。
googleで検索したところ、/etc/sshd_config でUseDNSをnoにすれば良いと書いてあって試したのですが、
全く意味がありませんでした。
何か御助言頂ければ幸いです。
0402名無しさん＠お腹いっぱい。
2006/10/15(日) 04:59:23ALL : ALL : allow
って書けばいいじゃない。
0403401
2006/10/15(日) 05:08:32ありがとうございます神様!!!
近日、さっそく試してみます。本当にありがとうございました!
もし宜しければ、僕が401で書いた内容に関して、
一体何が原因だったのか教えて頂けますでしょうか?
あつかましいと思うのですが、御教示頂けませんでしょうか
0404名無しさん＠お腹いっぱい。
2006/10/15(日) 07:59:150405名無しさん＠お腹いっぱい。
2006/10/15(日) 09:20:580406名無しさん＠お腹いっぱい。
2006/10/15(日) 13:02:420407名無しさん＠お腹いっぱい。
2006/10/21(土) 11:44:47http://www.typemiss.net/blog/kounoike/20061019-100
0408名無しさん＠お腹いっぱい。
2006/10/21(土) 21:05:50> ところで，この方法の最大の利点は「中継サーバにログインアカウントが必要
> ないこと」だと思っています。上で例を示したときにユーザ名が「sshfwd」なの
> はこの布石です。
それじゃauditできないだろう。
誰か悪い子が「この秘密鍵使えば一旦このネットワークに入らないと見れない
ものも見れるよ」とかって無関係な人に使わせてもそれを洗い出すのが難しい。
2chに変な書き込みがされて問題になったり、不正アクセスの嫌疑がかかったり
して初めて発覚したりしそう。
0409名無しさん＠お腹いっぱい。
2006/10/22(日) 11:42:030410名無しさん＠お腹いっぱい。
2006/10/23(月) 14:04:58出来る。
0411名無しさん＠お腹いっぱい。
2006/10/24(火) 03:45:500412名無しさん＠お腹いっぱい。
2006/10/24(火) 21:26:46できる
0413名無しさん＠お腹いっぱい。
2006/10/24(火) 21:56:29まじすか。>>411じゃないけど、方法を知りたい。
ポートフォワードでも使うんですかね。
調べても、いまいちできたっていう情報がでてこないので・・・。
VPN使うしかないと思ってたので、できたらすごくうれしいのだが
0414名無しさん＠お腹いっぱい。
2006/10/24(火) 23:42:00誰も書かないんだと思う。
0415名無しさん＠お腹いっぱい。
2006/10/25(水) 03:13:07相手の445ポートへフォワーディング
0416名無しさん＠お腹いっぱい。
2006/10/25(水) 07:18:20ローカルポート何番にですか？
445に転送しようとすると、ローカル側ですでに使われていてbindできないのですが。
Windowsでは、アクセスするポート指定できましたっけ？
0417名無しさん＠お腹いっぱい。
2006/10/25(水) 08:46:17samba over sshで検索すると、
ttp://datafarm.apgrid.org/software/html/ja/user/smboverssh.html
ttp://www.c3.club.kyutech.ac.jp/c3magazine/4th/nbssh/nbssh.html
ページが見つかると思うのだが。
0418名無しさん＠お腹いっぱい。
2006/10/25(水) 09:28:59調べたら負けかな、と思ってる
0419名無しさん＠お腹いっぱい。
2006/10/25(水) 14:38:090420名無しさん＠お腹いっぱい。
2006/10/25(水) 16:01:300421名無しさん＠お腹いっぱい。
2006/10/25(水) 18:54:120422名無しさん＠お腹いっぱい。
2006/10/25(水) 22:23:35つか漏れがやったときは445では無理だった
0423名無しさん＠お腹いっぱい。
2006/10/26(木) 00:50:550425名無しさん＠お腹いっぱい。
2006/10/28(土) 22:42:02Windows では、どうすれば・・・orz
0426名無しさん＠お腹いっぱい。
2006/10/28(土) 23:50:380427名無しさん＠お腹いっぱい。
2006/10/29(日) 07:39:19Windowsでは不可。139を使え。
0428名無しさん＠お腹いっぱい。
2006/10/29(日) 10:08:360429名無しさん＠お腹いっぱい。
2006/10/29(日) 15:15:15Windowsから445ポートだけではつなぐことはできないということなのでしょうか？
0430名無しさん＠お腹いっぱい。
2006/10/29(日) 21:40:590431名無しさん＠お腹いっぱい。
2006/11/06(月) 17:38:16http://www.oreilly.co.jp/books/4873112877/
0432名無しさん@お腹いっぱい
2006/11/06(月) 19:18:48だけど、\5.040はきっついなぁ。
さすがはオライリー。値段に貫禄つけてきやがる。
0433名無しさん＠お腹いっぱい。
2006/11/07(火) 00:51:035 円は安いな
0434名無しさん＠お腹いっぱい。
2006/11/07(火) 01:11:320435名無しさん＠お腹いっぱい。
2006/11/07(火) 01:14:090436名無しさん＠お腹いっぱい。
2006/11/07(火) 12:34:470437名無しさん＠お腹いっぱい。
2006/11/07(火) 13:35:110438名無しさん＠お腹いっぱい。
2006/11/07(火) 14:01:460439名無しさん＠お腹いっぱい。
2006/11/07(火) 23:27:450440440
2006/11/08(水) 08:48:10情報元は春山さんのところ：
http://www.unixuser.org/~haruyama/security/openssh/20061108.html
（2006年11月08日 08:05更新、だそうで。）
0441440
2006/11/08(水) 08:57:15セキュリティ関係の問題（「sshd の特権分離モニタのバグ」）を修正したので
緊急リリース、ということかな。
# 個人的には、FreeBSDでのコンパイル時の問題が解決された点の方が
# 大きかったりするんですが
0442名無しさん＠お腹いっぱい。
2006/11/09(木) 05:57:20echo "sshd: ALL" >> /etc/hosts.deny
で、パスワード認証なんですが、これでは不十分ですか？
0443名無しさん＠お腹いっぱい。
2006/11/09(木) 09:45:590444442
2006/11/09(木) 20:59:140445名無しさん＠お腹いっぱい。
2006/11/10(金) 04:07:390446名無しさん＠お腹いっぱい。
2006/11/10(金) 10:55:520447名無しさん＠お腹いっぱい。
2006/11/11(土) 08:21:12>>446
どのようなアクセス制限を行っているんですか？
0448名無しさん＠お腹いっぱい。
2006/11/11(土) 13:20:220449名無しさん＠お腹いっぱい。
2006/11/11(土) 14:36:24使うようにプログラムが組まれていないと有効にならんぞあれ
0450名無しさん＠お腹いっぱい。
2006/11/11(土) 15:11:280451名無しさん＠お腹いっぱい。
2006/11/13(月) 01:23:40~/.ssh/以下に入れて使えますか？
ホストAからホストBに公開鍵認証で、ホストAのユーザhogeが
ログインする時、ホストAのrootがssh-keygenで作成した
id_rsa/id_rsa.pubファイルで公開鍵を設定したいのですが、
有効に働いてくれません。
通常は、ユーザhogeがssh-keygenで作成したid_rsa/id_rsa.pubを
設定するのが当然と思いますが、以上の様な使い方はできない
ものでしょうか。
0452名無しさん＠お腹いっぱい。
2006/11/13(月) 03:51:02可能。鍵認証関連のトラブルは、ほとんどのケースがファイルのアクセス権限が
間違ってるとか、ファイル名が違うとか、改行コードがおかしいとか、
そういう見落しがちな理由なので、もう一度よく確認してみることだな。
0453名無しさん＠お腹いっぱい。
2006/11/13(月) 10:40:00サンクス。失敗していたときと同じ手順でやったはずなのに、
できました。ｗ
おそらく、いろいろ作業してる際に、相手先のauthorized_keysに
登録し忘れてた気がします。（たぶん）
0454ssh初心者
2006/11/14(火) 13:39:57ssh-agent で 登録する鍵の数は変更できますか？
現在 ssh -v で確認すると6つまで鍵を読みに行きます。
それ以外の鍵については毎回鍵の指定が必要になり
rsyncの際、不便になります。
よろしくお願いします。
0455名無しさん＠お腹いっぱい。
2006/11/17(金) 19:04:060456名無しさん＠お腹いっぱい。
2006/11/17(金) 21:26:270457名無しさん＠お腹いっぱい。
2006/11/19(日) 17:40:480458名無しさん＠お腹いっぱい。
2006/11/19(日) 19:55:11・前者はOpenBSD専用
・後者は「移植版」と呼ばれるもので、前者をそれ以外のOSにも対応させた
もの
0459名無しさん＠お腹いっぱい。
2006/11/20(月) 09:17:04実質的に同じものと考えてよいのでしょうか？
0460名無しさん＠お腹いっぱい。
2006/11/20(月) 09:26:250461名無しさん＠お腹いっぱい。
2006/11/20(月) 10:21:55HPNってどうよ？
0462名無しさん＠お腹いっぱい。
2006/11/25(土) 07:17:190463名無しさん＠お腹いっぱい。
2006/11/25(土) 07:43:220464名無しさん＠お腹いっぱい。
2006/11/30(木) 22:51:28http://lists.mindrot.org/pipermail/openssh-unix-dev/2006-November/024908.html
0465名無しさん＠お腹いっぱい。
2006/12/05(火) 06:56:10http://javatelnet.org/space/start
0466名無しさん＠お腹いっぱい。
2006/12/05(火) 07:12:34Java アプレットが禁止されてるのかなぁ。
0467名無しさん＠お腹いっぱい。
2006/12/06(水) 02:20:03盗み見してみるけど、アッタクしてきたユーザ名とかパスワードを公開するのは
法的にまずいんかなぁ？
統計処理したものを定期的に公開するか、リアルタイムに公開するか迷ってるんだが…。
# BruteforceAttackしてくるユーザ名とパスワードを公開するのは、
# こんなパスワードとかユーザ名は狙われやすいと喚起したいだけなんだども(´･ω･`)
0468名無しさん＠お腹いっぱい。
2006/12/06(水) 02:42:340469名無しさん＠お腹いっぱい。
2006/12/06(水) 05:19:06そんな辞書はどこにでも転がっている。
どうしても活用したければ収集してログインの時に警告すれば？
そういうことするためのPAMモジュールがあったと思う。
0470名無しさん＠お腹いっぱい。
2006/12/06(水) 09:45:48これ見せればいいじゃん
http://www.cyberpolice.go.jp/server/rd_env/pdf/20060817_SSH.pdf
0471名無しさん＠お腹いっぱい。
2006/12/06(水) 15:10:04辞書は確かに何処でも転がっているとは思うんですが、
統計的なのとかあったら最近の動向とか分かって自分は便利だなぁと思ったので。
Login時の警告というのは、どういうことでしょうか？:-)
Banner /etc/ssh_msgなどは表示させてはいるんですが。
また、そのPAMモジュールについて良かったら詳しく教えて下さい。
>>470
おぉ、そんな資料が@policeから出てたとは…
喚起用にリンクしてみます。
ところで、SSH Attackしてくる人はpublickeyのみしか許可してないのに
Scriptがいけていないのかそれを無視してkeyboard-interactiveで
何度も試みるのは何故でしょうか？
■ このスレッドは過去ログ倉庫に格納されています