OpenSSHがSHA-1を使用したRSA署名を廃止、BacklogのGitで発生した問題と解決にいたるまでの道のり | 株式会社ヌーラボ(Nulab inc.)
サービス開発部SRE課の@vvatanabeです。 2021年9月26日、OpenSSH 8.8がリリースされました。大きな変更として挙げられるのは、SHA-1ハッシュアルゴリズムを使用したRSA署名の廃止です。 本記事では、この変更がBacklogに与えた影響、その時現場で起こっていたこと、問題解決のプロセス、なにを教訓にしたのか等、順を追って解説します。 ※ 本記事はNuCon 2021で発表した内容をブログ化したものです。 問題の発覚 BacklogのGitへSSHでアクセスできない TypetalkのBacklog開発者のトピックで、以下のフィードバックが投稿されました。 「OpenSSH 8.8へアップデートすると、BacklogのGitへSSHアクセスできない」という内容でした。 問題の調査 Inside SSH protocol v2 深堀りしていく前に、SSHプロトコルの接
Ubuntu で OpenSSH の鍵管理を gpg-agent に委譲する【たぶん決定版】
OpenSSH では ssh-agent を GnuPG の gpg-agent に置き換えることで鍵の管理を GnuPG 側に委譲できる。ちなみに gpg-agent は GnuPG 秘密鍵管理の中核コンポーネントで，自身はパスフレーズを一定期間キャッシュすることでユーザの鍵操作を省力化できる（秘密鍵そのものはキャッシュしない）。また，リモートの gpg-agent 同士の連携も可能である。 ただし Ubuntu を含む Debian 系ディストリビューションでは OpenSSH の鍵管理に ssh-agent を使うことを前提に構成されているため， gpg-agent に置き換えるにはいくつかの設定変更が必要なようだ。この記事では，その設定変更について簡単にまとめておく[1]。 Ubuntu 設定の変更 gpg-agent サービスの確認 まずは gpg-agent がサービスとして稼
OpenSSH 7.3 の ProxyJump 機能の使い方 | Webシステム開発／教育ソリューションのタイムインターメディア
先日、OpenSSH 7.3 がリリースされましたが、 http://www.openssh.com/txt/release-7.3 新しい機能として、ProxyJump設定パラメータと、これに対応する「-J」コマンドラインオプションが加わっています。 以前の記事(OpenSSH のNetcat modeを使う)でも書きましたが、netcat モードができたから、ncとかconnect 使わなくても踏み台越えが楽になりましたが、さらに記述が簡素化されました。 使い方はこうです。 ssh -J user@fumidai user@innerhost 複数台踏み台ホストを経由する場合には、 ssh -J user@fumidai01,user2@fumidai02 user@innerhost と複数の踏み台ホストをカンマ区切りで記載すれば、複数の踏み台を経由したホストにも簡単に接続することが
Bug in widely used OpenSSH opens servers to password cracking
A recently disclosed bug in OpenSSH software used to remotely access Internet-facing computers and servers allows attackers to make thousands of password guesses in a short period of time, a defect that could open systems to password cracking, a security researcher has warned. Under normal circumstances, OpenSSH will allow just three or six login attempts before closing a connection, the researche
Oracle、SolarisでSunSSHを捨てOpenSSHに乗り換え
Oracle, The World's Largest Enterprise Software Company SolarisにはこれまでSunSSHと呼ばれるSolarisに特化したSSHの実装系が提供されてきた。これはもともといくつかの理由からOpenSSHからフォークする形で開発が進められた実装で、OpenSSHの実装を随時バックポートする形で最新版のOpenSSHと同期しながら実装が維持されてきた。 しかしこの体制はそろそろ終了するようだ。Oracleは7月7日(米国時間)、「OpenSSH in Solaris 11.3 (darren_moffat@blog$ cat /dev/mem｜grep /dev/urandom)」において、Solaris 11.3ではSunSSHとOpenSSHの双方を提供しているが、以降のリリースからはSunSSHは提供せずOpenSSHのみを提供
OpenSSH 6.9登場 - OpenSSH 7.0の非互換情報も公開
OpenSSH is a FREE version of the SSH connectivity tools that technical users of the Internet rely on. OpenBSDプロジェクトは6月30日(カナダ時間)、「OpenSSH 6.9 released June 30, 2015」において、OpenSSHの最新版となる「OpenSSH 6.9」の公開を伝えた。OpenSSHはSSHプロトコルバージョン1.3、1.5、2.0の実装系。リモートからログインしてシステムの管理やシステム開発をするための基本的なツールとしてさまざまなシーンで活用されている。 OpenSSH 6.9は主にバグ修正を目的としており、新機能の追加や変更は最小限にとどまっている。次のリリースバージョンとなるOpenSSH 7.0について、すでに次のような互換性や設定に影響を与
特定のユーザのみSFTPでchrootする | DevelopersIO
はじめに webサイトのドキュメントルートをLinuxユーザのホームディレクトリ配下のディレクトリにして 運用しているサイトは結構あると思います。 しかしそのドキュメントルート配下の特定のディレクトリのみ 他のユーザも編集したいなんてことがあります。 そのような条件の場合にOpenSSHのchroot機能を使って 特定のユーザのみSFTPでchrootする方法を紹介します。 ※OpenSSHのchroot機能はOpenSSH4.2.9以降から使用できるようになっています。 http://www.openssh.com/txt/release-4.9 要件 簡単に要件を箇条書きに書いていきます。 ・既存ユーザ websiteuser ・既存ユーザのホームディレクトリ /home/www/websiteuser ・ドキュメントルート /home/www/websiteuser/htdocs/
OpenSSHによる二段階認証について ワンタイムパスワード編 - WebPay Engineering Blog
こんにちは、sowawaです。 OpenSSHによる二段階認証についての続編記事です。 ワンタイムパスワード（One Time Password: よくOTPと略されます）とは、一回限りの使い捨てのパスワードのことです。認証するサーバ等との間で事前に共有が必要な情報は、 アルゴリズムにより様々ですが時間やカウンターをベースにしたものがよく利用されています。 最近では、様々なサービスで同じメールアドレスとパスワードの組み合わせで使い回されたことによって、 ひとつのサービスから流出したパスワードとメールアドレスを他のサービスに対する不正アクセスに頻繁に利用された結果、 重要な情報を扱う様々なサービスではOTPを利用したニ段階認証が導入されるようになりました。 多くの人がアカウントを持っているGoogleでは、Google Authenticatorと呼ばれるモバイル端末等で動作するOTP生成ア
OpenSSHによる二段階認証について - WebPay Engineering Blog
皆さん、こんにちはsowawaです。 このEngineering Blogはライブラリのリリースや機能追加の各種お知らせが中心ですが、今日は趣向を変えてOpenSSHによる二段階認証の導入方法について解説します。 PCI DSSという我々の準拠しているセキュリティ基準では、クレジットカード情報の取り扱いに関わるサーバ群へのリモートアクセスに二段階認証の組み込みを要求しているため、WebPayのプロダクション環境を始めとするサーバ群でも認証サーバで二段階認証を実施しています。 OpenSSHで二段階認証を実装する肝となるのは、OpenSSH6.2以降で追加されたMultifactorAuthenticationのためのAuthenticationMethodsというディレクティブです。 参考: http://lwn.net/Articles/544640/ それではさっそく二段階認証を導入し
RHEL6系でansibleを使うならrecord_host_keysをFalseにすると速くなる - still deeper
tl;dr; タイトルの通り。RHEL6系なのでCentOS6、ScientificLinux6なども該当。 Pramiko ansibleは各ホストとの接続にはsshと使います。この時、sshにはControlPersistという機能に対応していることが必要で、opensshならバージョン5.6以上が対象です。ansibleのデフォルトの動作では、PATH上のsshコマンドがControlPersistに対応していればsshを使い、そうでない場合はparamikoというpythonのsshライブラリが用いられるようになっています。 RHEL6系のopensshはバージョン5.3の為、何も設定せずに使うとparamikoが用いられます。 Paramikoが遅い ところがこのparamikoを用いたansibleの実行はかなり遅いです。どの程度遅いかは末尾を参照。特に台数が多い場合にその影響
Using OpenSSH Certificate Authentication - neocri.me
Summary In March 2010, ssh certificate authentication was quietly included with OpenSSH 5.4. In 2014 ssh certificates are still a fairly obscure subject, neither widely understood or used. With such an obscure subject, one could almost expect it to be either hard or complex to implement – it is neither hard nor complex, just not well documented. The goal of this guide is to show how easy it is to
OpenSSH 6.2を使って公開鍵認証もLDAPで行いたい。 - Qiita
公開鍵認証もLDAPで行いたい。LDAPを使うと各サーバの認証情報を一元管理できるけど、公開鍵認証を行ってる場合、公開鍵も一元管理できると便利だ。OpenSSHはLDAPに対応していないので、OpenSSH-LPKというパッチを当てて対応する必要があるんだけど、OpenSSH 6.2からはパッチを当てなくても良くなったと聞いてやってみることにした。 Wheezy-backportsからDebian WheezyにOpenSSH 6.4を入れる Debian WheezyのOpenSSHは6.0なので、Wheezy-backportsからインストールする。 $ sudo echo "deb http://ftp.jp.debian.org/debian wheezy-backports main" >> /etc/apt/sources.list $ sudo aptitude update
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
OpenSSHがSHA-1を使用したRSA署名を廃止 BacklogのGitで発生した問題と解決にいたるまでの道のり
SSH server for clusters and teams
Bitbucket | The Git solution for professional teams
Bitbucket | Git solution for teams using Jira
OpenSSHのちょっとディープな話 - slideshare