トップページ⇒unix
1001コメント300KB

SSH その7

■ このスレッドは過去ログ倉庫に格納されています
0001名無しさん＠お腹いっぱい。2010/02/16(火) 21:23:37
SSHに関する情報交換のスレッドです。
FAQ、リンク集は >>2-5 あたり。

過去ログ
　Part1：http://pc.2ch.net/unix/kako/976/976497035.html
　Part2：http://pc.2ch.net/unix/kako/1028/10281/1028157825.html
　Part3：http://pc5.2ch.net/unix/kako/1058/10582/1058202104.html
　Part4：http://pc8.2ch.net/test/read.cgi/unix/1102242908/
　Part5：http://pc11.2ch.net/test/read.cgi/unix/1145484540/
　Part6：http://pc12.2ch.net/test/read.cgi/unix/1202782840/
0104名無しさん＠お腹いっぱい。2010/03/07(日) 09:28:35
Secure SSHｷﾎﾞﾝ
0105名無しさん＠お腹いっぱい。2010/03/07(日) 10:30:54
インセキュアな奴が使うから無理。
パスワード認証でパスワード保存したいとか、正気の沙汰とは思えない。
0106名無しさん＠お腹いっぱい。2010/03/07(日) 13:05:25
>>103
ssh→ssh2→ssh2'→ssh2'turbo→superssh2→superssh2X→ssh4
0107名無しさん＠お腹いっぱい。2010/03/07(日) 13:49:39
スーパー ssh 冒険の謎 2 でいいよ
0108名無しさん＠お腹いっぱい。2010/03/07(日) 13:50:53
>>106
→ sshIV とか sshﾀｸﾃｨｸｽとか
0109名無しさん＠お腹いっぱい。2010/03/07(日) 16:02:02
sshEXとssh0は
0110名無しさん＠お腹いっぱい。2010/03/07(日) 19:35:54
Zssh
sshZZ
νssh
ssh-F91
0111名無しさん＠お腹いっぱい。2010/03/07(日) 22:55:43
Ξssh も仲間に…
0112名無しさん＠お腹いっぱい。2010/03/07(日) 23:26:27
続・ssh
続続・ssh
また又・ssh
新・ssh
ニュー・ssh
痛快・ssh
0113名無しさん＠お腹いっぱい。2010/03/07(日) 23:29:58
あぶないssh
もっとあぶないssh
もっともっとあぶないssh
0114名無しさん＠お腹いっぱい。2010/03/07(日) 23:34:46
もっともあぶないSSH
さらにあぶないSSH
0115名無しさん＠お腹いっぱい。2010/03/08(月) 00:57:28
つまんないのでもういいです。
0116名無しさん＠お腹いっぱい。2010/03/08(月) 16:33:56
嘘です、もっとやってください。
0117名無しさん＠お腹いっぱい。2010/03/08(月) 21:11:22
knkssh
0118名無しさん＠お腹いっぱい。2010/03/10(水) 21:53:41
openssh-5.4/5.4p1来たね。
0119名無しさん＠お腹いっぱい。2010/03/10(水) 22:46:49
公開鍵認証が出来なくなった
0120名無しさん＠お腹いっぱい。2010/03/10(水) 22:51:37
へぇ〜
0121名無しさん＠お腹いっぱい。2010/03/10(水) 22:52:20
ほぉ〜
0122名無しさん＠お腹いっぱい。2010/03/10(水) 23:04:03
公開鍵認証が出来ないなら、秘密鍵認証すればいいじゃない。
0123名無しさん＠お腹いっぱい。2010/03/11(木) 01:14:28
えっ
0124名無しさん＠お腹いっぱい。2010/03/11(木) 01:32:08
>>123
いじめんなよ
0125名無しさん＠お腹いっぱい。2010/03/11(木) 01:37:00
ケーキを食べればいいじゃないネタに何いってんのっていうか
0126名無しさん＠お腹いっぱい。2010/03/11(木) 01:42:43
もうひとひねり欲しいところ。
0127名無しさん＠お腹いっぱい。2010/03/11(木) 01:45:22
むしろサイバーノーガード戦法で
0128名無しさん＠お腹いっぱい。2010/03/11(木) 03:25:55
もしかしてGIF騒動の二の舞？
0129名無しさん＠お腹いっぱい。2010/03/11(木) 12:19:55
>>119
英語でいいんでソース頼む
0130名無しさん＠お腹いっぱい。2010/03/11(木) 12:22:11
ソースっていうか
>>119の環境でできなくなったって話じゃないの。
0131名無しさん＠お腹いっぱい。2010/03/11(木) 15:47:16
単にプロトコル2がデフォルトになって、
敢えて設定しない限り1は使えなくなっただけじゃ
なかったっけ？
01321192010/03/11(木) 22:50:59
あぁ・・・うちだけか。ﾅﾝﾃｺｯﾀｲ

ssh-keygenで鍵セット作ったんだけど公開鍵がputtygen.exeで読み込めなかったんだ。
PuTTYの方で作らないとダメなのかなと、puttygen.exe作った公開鍵をssh-keygenで変換して接続を試みたんだけどNG
ChallengeResponseAuthenticationをコメントアウトすると接続そのものは出来るようになったんだけど
パスフレーズではなくパスワードの入力でないとダメだった。で、鍵認証出来なくなってる？って思ったんです。
sshd_configは5.3p1で使っていたのと全く同じ
Port 22
Protocol 2
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key
SyslogFacility AUTH
LogLevel INFO
LoginGraceTime 2m
PermitRootLogin no
StrictModes yes
RSAAuthentication no
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
RhostsRSAAuthentication no
IgnoreRhosts yes
PasswordAuthentication no
PermitEmptyPasswords no
ChallengeResponseAuthentication no
UsePAM yes
0133名無しさん＠お腹いっぱい。2010/03/12(金) 00:18:30
>>132
多分、鍵の置く場所変えたら直ると思う。
0134名無しさん＠お腹いっぱい。2010/03/12(金) 19:50:51
AuthorizedKeysFile のところ%h付けなくなったんだっけ?
明示的に%h付けてみたら?
0135名無しさん＠お腹いっぱい。2010/03/13(土) 05:23:41
RSAよりDSAの方がつおいんだな。
しらなカッタワ。
0136名無しさん＠お腹いっぱい。2010/03/13(土) 11:42:41
DSAって1024縛りがなかったっけ?
0137名無しさん＠お腹いっぱい。2010/03/13(土) 21:54:51
んなこたぁない
0138名無しさん＠お腹いっぱい。2010/03/14(日) 14:13:18
現状のsshで使えるのは1024ビットのDSAだけでしょ？

http://marc.info/?l=openssh-unix-dev&m=126630542032768&w=2

反対にRSAのビット長の方は上限は決まってないんだっけ。
実際にはopensshだとssh-keygenで作成できる上限やsshが扱える限界が
あるみたいだけど何の制約からなんだろう。

ところで、うちのCore2Duoでためしにopenssl genrsa 65536を
実行してみたらCPU 50%しか使わないね。p,q同時に生成するような
パッチってないのかな？（需要ないか・・・）
0139名無しさん＠お腹いっぱい。2010/03/14(日) 14:33:26
仕様上そうなってるけど、PuTTY の keygen では作れてしまう。
以前試したときには確か使えたと思う。
0140名無しさん＠お腹いっぱい。2010/03/14(日) 14:44:53
ssh.com版は少なくとも2048bitを作れた気がする。
opensshが勝手に制限してるだけ？
0141名無しさん＠お腹いっぱい。2010/03/14(日) 19:09:22
TeraTermの中の人が書いたまとめっぽいのがあった。
ttp://slashdot.jp/~doda/journal/465416
0142名無しさん＠お腹いっぱい。2010/03/14(日) 21:48:22
(L,N)=(2048,160)な中途半端なDSA鍵なら
長いRSA鍵の方がよっぽどましだと思うけど。

(L,N)=(2048,224)のDSA鍵使うにはSSHプロトコルの
拡張が必要なんでしょ？
0143名無しさん＠お腹いっぱい。2010/03/26(金) 08:23:11

sshをつかってWindowsから接続しています。
nohupを使ってプログラムを実行したあと、ウインドウを閉じると、プログラムが終了してしまいます。
exitコマンドを使えば、切断したあともプログラムの実行は継続されます。
ウインドウを直接閉じた際もプログラムを継続する方法はないでしょうか?
0144名無しさん＠お腹いっぱい。2010/03/26(金) 08:29:16
>>142
nohupは SIGHUPを無視するだけで、
ウィンドウ閉じた時にそれ以外のシグナルが来れば終了するわな。
すべてのシグナルを無視するラッパーをかますか、
てっとり早く setsidコマンドを使う方法もある。
0145名無しさん＠お腹いっぱい。2010/03/26(金) 08:59:54
>>143
つ GNU screen
0146名無しさん＠お腹いっぱい。2010/03/26(金) 12:15:39
普通screen
0147名無しさん＠お腹いっぱい。2010/03/26(金) 12:24:14
この用途でscreenは牛刀。
0148名無しさん＠お腹いっぱい。2010/03/26(金) 12:31:36
tmux
0149名無しさん＠お腹いっぱい。2010/03/26(金) 13:17:52
>147
牛刀結構ではないか
ギロチンつかうよりはまし
0150名無しさん＠お腹いっぱい。2010/03/26(金) 13:28:40
>>147
screen使うと何か問題が出るのか?
0151名無しさん＠お腹いっぱい。2010/03/26(金) 13:43:00
debianをetch->lennyにしたらstoneがなくなったのでsocatにしたけど
こういうのが牛刀？
0152名無しさん＠お腹いっぱい。2010/03/26(金) 13:43:29
ptyが無駄に消費される
0153名無しさん＠お腹いっぱい。2010/03/26(金) 13:45:57
>>152
足りないの？
0154名無しさん＠お腹いっぱい。2010/03/26(金) 13:47:16
×無駄に消費される
○有効に活用される
0155名無しさん＠お腹いっぱい。2010/03/26(金) 13:48:30
wgetで済むのにfirefoxを起動するのが牛刀
0156名無しさん＠お腹いっぱい。2010/03/26(金) 13:50:46
>>154
nohupの代替の場合、stdout/stderrはもともとファイルにリダイレクトされてるので、
ptyは無駄にしかならない。

setsidとかFreeBSDのdaemonとかはcontrol terminalを切り離すので
無駄にならない。
0157名無しさん＠お腹いっぱい。2010/03/26(金) 13:51:13
牛刀のほうが使いなれてるなら牛刀でいいじゃん
0158名無しさん＠お腹いっぱい。2010/03/26(金) 18:38:39
いやだから、ptyが無駄になって
何か問題があるのか?

そりゃ鳥をバラすのに牛刀使うのは
かえってやりにくかろうとは思うが
screen使って「特に問題が出ない」なら
別に構わんのでは?
0159名無しさん＠お腹いっぱい。2010/03/26(金) 18:50:41
そこは触れてほしくないみたいだよ。
0160名無しさん＠お腹いっぱい。2010/03/26(金) 19:22:26
> 「鶏を割くに焉んぞ牛刀を用いん」
> 小事を処理するのに、大掛かりな手段を用いることのたとえ。

「大掛かりな手段」と言うほどscreenは大掛かりか?
俺はわりと日常的に使ってるけど。

たかだか1、2行のメモを書くのにわざわざMS Wordを立ち上げる
みたいな話ならまだ分かるが。
screenだぜ? w
0161名無しさん＠お腹いっぱい。2010/03/26(金) 19:24:21
MS Word を日常的に使ってれば
それは大掛かりにならんのでは
0162名無しさん＠お腹いっぱい。2010/03/26(金) 19:43:57
screenはインストールされてるとは限らないから、
わざわざscreenをインストールしてから作業開始だとすると大がかりだな。
0163名無しさん＠お腹いっぱい。2010/03/26(金) 19:48:50
それはまた話が別。
0164名無しさん＠お腹いっぱい。2010/03/26(金) 19:51:09
>>161
ヘタすると実作業よりも起動待ちの方が長くなるような
という意味合いで書いたんだが。
作業内容に比して大掛かりな道具という。
0165名無しさん＠お腹いっぱい。2010/03/26(金) 19:52:33
>>162
yumやaptの使い方知らないなら
確かに大掛かりな話になるかもね。

つか、そのレベルの人だったら
別の方法を採用したら
もっと大掛かりな話になりそうなw
0166名無しさん＠お腹いっぱい。2010/03/26(金) 20:09:00
勝手にソフトを入れてはいけない客先のマシンとか、
社内だったとしてもインストール許可を申請すると日数がかかるものもあるわけで。
0167名無しさん＠お腹いっぱい。2010/03/26(金) 22:39:08
>>164
もれは attach するだけだから爆速
0168名無しさん＠お腹いっぱい。2010/03/30(火) 16:19:47
# SSHプロトコルの指定
Protocol 2

# rootでのアクセス許可
PermitRootLogin yes

# 接続を許可するユーザ
AllowUsers root

# セキュリティ設定
MaxStartups 2:90:5
LoginGraceTime 20
MaxAuthTries 3
port 22
# RSA公開鍵認証の有効化
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile /etc/ssh/authorized_keys
0169名無しさん＠お腹いっぱい。2010/03/30(火) 16:20:30
# パスワード認証無効化
PasswordAuthentication no
PermitEmptyPasswords no
RhostsRSAAuthentication no
ChallengeResponseAuthentication no
# ログのレベルを指定
SyslogFacility AUTH
LogLevel INFO
# パーミッションチェック
StrictModes yes
# その他
GSSAPIAuthentication no
GSSAPICleanupCredentials yes
UsePAM no
AcceptEnv LANG LC_CTYPE LC_NUMERIC LC_TIME LC_COLLATE LC_MONETARY LC_MESSAGES
AcceptEnv LC_PAPER LC_NAME LC_ADDRESS LC_TELEPHONE LC_MEASUREMENT
AcceptEnv LC_IDENTIFICATION LC_ALL
X11Forwarding yes
Subsystem sftp /usr/libexec/openssh/sftp-server

このような設定でsshに接続しているのですが、ユーザー権だとログインできないです。
なぜなのでしょうか？？
AllowUsers root は AllowUsers root hogehoge の間違いです。
0170名無しさん＠お腹いっぱい。2010/03/30(火) 16:21:18
ログ見ないのかね。
0171名無しさん＠お腹いっぱい。2010/03/30(火) 16:37:36
AuthorizedKeysFile /etc/ssh/authorized_keys
こんなデタラメな設定、誰に教わった?
0172名無しさん＠お腹いっぱい。2010/03/30(火) 16:47:36
あれ、なんかデジャヴ?
0173名無しさん＠お腹いっぱい。2010/03/30(火) 19:30:03
これは酷いw
0174名無しさん＠お腹いっぱい。2010/03/30(火) 19:39:25
こういうバカは死んで欲しい。
http://d.hatena.ne.jp/fjkktkys/20070214/1171433041
0175名無しさん＠お腹いっぱい。2010/03/30(火) 20:31:37
>>174
いちおう「最終手段」って書いてるじゃん。
0176名無しさん＠お腹いっぱい。2010/03/30(火) 23:56:23
何をやっているか理解せずに、全世界に公開する愚かな行為を言っているのだ。
0177名無しさん＠お腹いっぱい。2010/03/30(火) 23:59:29
ブログに書かれた設定系のネタでまともなものを見たことがない。
0178名無しさん＠お腹いっぱい。2010/03/31(水) 02:11:42
>>174
それ3行並べてるじゃん。
>>168のは一行しか書いてないじゃん。
なんで>>174の方を叩くべきって結論に？

>>177
ほう
0179名無しさん＠お腹いっぱい。2010/03/31(水) 19:07:47
3:1で>>174の勝ち。
01801792010/03/31(水) 21:08:38
>>174の方が明らかに間違い
>>168はそれに騙された被害者

一日間に異論がなければそれで確定ね
0181名無しさん＠お腹いっぱい。2010/03/31(水) 21:55:09
>>168
ttp://www.unixuser.org/~euske/doc/openssh/jman/sshd_config.html
ｺｺ見てわからなかったら、ｸﾞｰｸﾞﾙさんに聞いてください。
0182名無しさん＠お腹いっぱい。2010/03/31(水) 23:04:37
一日間に異論がなければそれで確定ね(ｷﾘｯ
0183名無しさん＠お腹いっぱい。2010/04/01(木) 17:19:46
何をやっているか理解せずに、誰かが書いた設定をコピペして使うのも愚かな行為。
0184名無しさん＠お腹いっぱい。2010/04/05(月) 19:44:17
どうしてもssh認証できなくて、2日間悩んだあげくやっと原因を発見した
作った.sshディレクトリの所有者がrootになってた
忘れないようにここに記録しておく
0185名無しさん＠お腹いっぱい。2010/04/05(月) 19:53:15
ばーか としか言いようがない
0186名無しさん＠お腹いっぱい。2010/04/06(火) 07:47:09
そんなこと普通起きないから忘れていいよ。
0187名無しさん＠お腹いっぱい。2010/04/06(火) 21:43:11
いや、>>184 が記憶したいのが「所有者が root だから駄目だった」だったら
きっと同じようなことをまたやらかすに違いない
0188名無しさん＠お腹いっぱい。2010/04/07(水) 11:24:55
>>187
?
他に何を記憶したいという可能性が?
0189名無しさん＠お腹いっぱい。2010/04/08(木) 16:20:59
root だったからじゃなくて、所有者が違ったからだめなんだよ。
そういう記憶の仕方は良くない。

/root/.ssh の所有者がrootでも何の問題もないからな。
0190名無しさん＠お腹いっぱい。2010/04/08(木) 16:43:10
それを言うなら「所有者が違って、かつotherに読み込み権限がなかったから」だろ
>>184は所有者の確認もせずにパーミッションだけは700とかに設定したわけだな
0191名無しさん＠お腹いっぱい。2010/04/08(木) 16:54:06
>>190
違うよ。
「所有者が違ってotherに読み込み権限がある」状態では拒否されるよ。
01921902010/04/08(木) 17:17:26
/home/testuser/.ssh# ls -la
合計 12
drwx---r-x 2 root root 4096 2010-04-08 17:05 .
drwxr-xr-x 3 testuser testuser 4096 2010-04-08 17:05 ..
-rw----r-- 1 root root 395 2010-04-08 17:05 authorized_keys

試してみたけどこの状態ならtestuserでSSHログインできたぞ。
ここから chmod o-rx . ./authorized_keys するとログイン不可。
まぁ環境によるのかもしれないけど。
0193名無しさん＠お腹いっぱい。2010/04/08(木) 21:03:08
drwx--x--x .
drwxr-xr-x ..
-rw------- authorized_keys
だろ常考
0194名無しさん＠お腹いっぱい。2010/04/08(木) 21:10:03
そういう話はしていない。
01951872010/04/08(木) 22:18:50
俺が言いたかったのは「所有者が root だから駄目だった」という
個別の事例を記録しても意味がなくて、なぜ ~/.ssh の所有者を root に
してしまったのかの原因を詳らかにしておいた方がいいんじゃないの？
ってことだったんだけどね

平たく言うと、安易にスーパーユーザーで作業すんなってこと
0196名無しさん＠お腹いっぱい。2010/04/09(金) 10:15:32
>平たく言うと

遠すぎるな
0197名無しさん＠お腹いっぱい。2010/04/09(金) 10:23:15
いや
何度も書かれている
お前の目が節穴だっただけ

大抵の人はフィルタを通して物(この場合スレの書き込み)を見てしまう
大事なことが書かれていてもそれに気付くためには
本人がそれを受け入れるための準備が必要なんだ
0198名無しさん＠お腹いっぱい。2010/04/09(金) 10:32:54
>>191
× 「所有者が違ってotherに読み込み権限がある」状態では拒否されるよ。
○ デフォルトでは所有者がroot以外の他人またはgoに書き込み権限有りの場合に拒否。
これほどあからさまな嘘は珍しい。
0199名無しさん＠お腹いっぱい。2010/04/16(金) 17:26:34
opensshでログインするとサーバー側にTIOCSCTTYの引数が無効とでます
何が原因かわかりますでしょうか
0200名無しさん＠お腹いっぱい。2010/04/16(金) 17:32:04
>>199
LANG=ja_JP.UTF-8 等にしているのが原因です。
LANG=C なら、ちゃんと
TIOCSCTTY: invalid argument
と出ます。
0201名無しさん＠お腹いっぱい。2010/04/16(金) 17:39:01
>>200
失礼しました勝手に訳しました
ログインはできるので影響はないんですが気になるので調べてます
0202名無しさん＠お腹いっぱい。2010/05/13(木) 21:33:11
一つ質問させて下さい。皆さんはSSHを用いて通信が暗号化された事をどのような方法で
確認していますか？

現在、
サーバ：windows2003server + cygwin(+openssh)
クライアント：windowsXP + teraterm
という環境でSSHポートフォワーディングを利用してリモートデスクトップ接続を
行おうとしており、実際に接続出来ていてリモートデスクトップが可能なのですが
経路が暗号化されているのかが判別出来ていません。

何か確認出来る方法、ツール等ありましたらご教示下さい。

0203名無しさん＠お腹いっぱい。2010/05/13(木) 21:43:42
パケットキャプチャでも使ってみたらどうだろう
0204名無しさん＠お腹いっぱい。2010/05/13(木) 21:50:06
ルータ経由でネットワーク分離して
間違って直結しようとしても出来ない構成にしておけばいいじゃん
■ このスレッドは過去ログ倉庫に格納されています