こんにちは、クラウドエースの SRE チームに所属している妹尾です。 今回は OpenSSH の脆弱性についての記事です。 (この記事は 7/4 に速報版から正式版へ更新しました) 2024/07/02 に、CVE-2024-6387が発表されました。 これは放置しておくと SSH を受け付ける全てのサーバーを乗っ取る事ができてしまう脆弱性です。 厄介なことにデフォルト設定の SSH-Server と、ある程度の時間があればサーバーを乗っ取れてしまうので、緊急度もかなり高めになっております。 そして Compute Engine もこの影響を受ける ので、多くの環境で対策が必要となります。 結局どうすればいいの Google が公表している、 GCP-2024-040 の手順に従いましょう。 (日本語訳ページだとまだ公表されてないようですので、英語版を見てください) 具体的には、以下のよう

2024年7月1日、OpenSSHの開発チームは深刻な脆弱性 CVE-2024-6387 が確認されたとしてセキュリティ情報を発出し、脆弱性を修正したバージョンを公開しました。この脆弱性を発見したQualysによれば、既定設定で構成されたsshdが影響を受けるとされ、影響を受けるとみられるインターネット接続可能なホストが多数稼動している状況にあると報告しています。ここでは関連する情報をまとめます。 概要 深刻な脆弱性が確認されたのはOpenSSHサーバー（sshd）コンポーネント。脆弱性を悪用された場合、特権でリモートから認証なしの任意コード実行をされる恐れがある。 悪用にかかる報告などは公表時点でされていないが、glibcベースのLinuxにおいて攻撃が成功することが既に実証がされている。発見者のQualysはこの脆弱性の実証コードを公開しない方針としているが、インターネット上ではPoC

※タイトルの元ネタは以下の作品です。 はじめに この記事は、公開鍵暗号の全体感を正しく理解するためのものです。数学的な部分や具体的なアルゴリズムは説明しません。気になる方は最後に紹介するオススメ書籍をご覧ください。 少し長いですが、図が多いだけで文字数はそこまで多くありません。また、専門的な言葉はなるべく使わないようにしています。 ただしSSHやTLSといった通信プロトコルの名称が登場します。知らない方は、通信内容の暗号化や通信相手の認証（本人確認）をするためのプロトコルだと理解して読み進めてください。 公開鍵暗号の前に：暗号技術とは 公開鍵暗号は暗号技術の一部です。暗号と聞くと、以下のようなものを想像するかもしれません。 これは情報の機密性を守るための「暗号化」という技術ですが、実は「暗号技術」と言った場合にはもっと広い意味を持ちます。まずはこれを受けて入れてください。 念のため補足して

HTTPといえばHTML/CSS/JavaScriptや画像などの小さめの限りがあるデータを手に入れるためによく使われている印象がある。REST APIのようなHTTPを使ったAPIでも限りのあるデータがリクエストとレスポンスになる印象が強い。

先日、メインの開発環境を MacOS から Windows 10 Professional へと移しました。理由としては主に2点で、現在仕事を自宅の固定席で行っており PC を持ち運びする必要がなくなったため Mac より高速で安価な Windows デスクトップ機を使いたいこと(Ryzen 9使いたい!)、WSL2 が正式版となり使ってみた感じ問題なく WSL2 で仕事の開発ができそうだったことが挙げられます。 WSL2 はふつうに Linux なので問題なく開発環境の構築が行なえ、Windows からも VSCode Remote のおかげでで違和感なくWSL2上のコードを編集、実行ができ快適な開発が行えています。(なお、WSL2 についての記事は山程溢れているので、ここでは殆ど触れません。) しかしながら、WSL2 ではないふつうの Windows 上で開発する機会が出てきたので、M

IntelliJ IDEA には deployment というファイルをリモートに送信することができる機能があります。踏み台サーバ経由でデプロイするときにひと手間必要だったので備忘録。 目次 SSH のローカルポートフォワードを利用する IntelliJ IDEA の deployment の設定 SSH のローカルポートフォワードを利用する IntelliJ IDEA の deployment は単一のサーバしか設定ができず、~/.ssh/config ファイルも読みません。 そこで、SSH のローカルポートフォワードを設定することで目的のサーバにデプロイすることができました。踏み台サーバーの Global IP が XXX.XXX.XXX.XXX で、デプロイしたいサーバの Private IP が 192.0.0.1 のとき、ローカルのポート 122 にポートフォワーディングを設定し

CentOS 7 で sshd のポートを変更する(firewalld, SELinuxの設定) 2014/11/21 CentOS, Linux, サーバ管理, セキュリティ sshd をデフォルトポート(TCPの22番)で待ち受けていると、ログファイル(/var/log/secure)に大量のブルートフォースアタックのログが残ります。パスワード認証を無効にして公開鍵認証のみにしておけば、実際に侵入されることはまずないのですが、見ていて気分の良いものではありません。そんな理由で、sshdの待ち受けポートを変更している人も多いと思います。 最近セットアップした CentOS 7 でも同じ設定をしようとしたのですが、長らく使っていた iptables が firewalld に替わったため 1、その設定も必要になりました。また、今回から SELinux も有効にして運用しているので、そちらの

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

こんにちは、臼田です。 AWSでEC2と接続するためのsshの鍵の生成は、基本AWS側で行なってくれますが、ec2-user以外のユーザで別の鍵を利用したり、AWS以外でもGithub等のサービスに利用したりする際には自分でsshの鍵を作成すると思います。 本当にちょっとしたことですが、ssh-keygenで鍵を生成する際に気にしたいことを書きます。 普通に作ってみる ssh-keygenコマンドは対話式で鍵を生成することができます。 具体的には、下記のような動作になります。 $ ssh-keygen Generating public/private rsa key pair. Enter file in which to save the key (/Users/username/.ssh/id_rsa): /Users/username/.ssh/test Enter passphr

先日「サーバーのセキュリティ設定がなにすればいいかわからない」と相談をうけまして。 自分も初心者の時どこまでやればいいかわからず手当たりしだいにやって沼に入っていたのを思い出しながら自鯖構築したときのメモを元にまとめてみました。 注意 セキュリティ対策は用途や場合などによって違います。 自分で理解したうえで自己責任でおねがいします。 対象読者 Linuxのサーバーを建て慣れていない人 Linuxはある程度さわれる人(自分でパッケージを入れたり、サービスを止めたりできる) ラインナップ ☆は導入の重要度と導入の容易さから個人的偏見からつけた値です。 4つ以上が"最低限やること"だと思ってください。 sshd

こんにちは、okutaniです。Emacsには、ローカルのEmacsからサーバーへSSH接続できる『tramp』という機能があります。 このtrampを使うと、サーバー上にあるファイルをサーバー上で直接編集することができて便利です。 このtrampは、最近のEmacsでは標準で入っているため、めんどうなインストールや設定は不要です。私が使っているGNU Emacs 24.5.1には最初からインストールされていました。 なお、本記事ではサーバーにエックスサーバーで使っています。SSHが使えるサーバーであれば、レンタルサーバーでも問題なく動作するかと思います。 ではさっそく、trampを使ってEmacsでSSH接続してみましょう。 スポンサーリンク Emacs＆trampでSSH接続してみよう Emacsを立ち上げ、「C-x C-f(もしくはM-x find-file)」のあとに「/ssh:u

SSH秘密鍵 id_rsa を putty形式 & OpenSSH形式に変換する手順 ネットにうじゃうじゃあるこの類の記事ですが、久しぶりにやったら忘れていたので自分用にメモします。 Windows環境での方法です。 使用するツール puttygen.exe このページとかかからダウンロードします。 手順 ※id_rsa の読み込みには、鍵のパスフレーズが必要です。 ppkファイル puttygen.exeを起動 [Conversions]を押下 [Import key]を押下 id_rsaを選択 [Save private key]を押下 適当な名前を付けて、*.ppk ファイルの出来上がり OpenSSHファイル poderosa とかでも使っている鍵形式です。 puttygen.exeを起動 [Conversions]を押下 [Export OpenSSH key]を押下 適当な名前

7. つまり $ ssh -p 2222 very-long-user-name@very-long-server-name. example.com これを $ cat .ssh/config Host very Port 2222 User very-long-user-name HostName very-long-server-name.example.com $ ssh very こうしておくと こうなる 8. $ scp -P 2222 very-long- user-name@very-long- server-name.example.com: hoge.txt ./ $ scp very:hoge.txt ./ $ rsync --port 2222 very- long-user-name@very-long- server-name.example.com: hoge

Deleted articles cannot be recovered. Draft of this article would be also deleted. Are you sure you want to delete this article?

新規ユーザー追加するときに鍵の作り方を忘れていたのでまとめなおした。鍵なんて一回作ったらずっと使い回しだから、やり方とかメモしてないと忘れちゃうよね。 SSH公開鍵生成して使う。 手順は次の通り サーバーで秘密鍵・秘密鍵を作る。 公開鍵をサーバーの認証済みキーに登録する。 ログインのテスト。 Windowsに鍵を転送。 PuttyのKeygenでPutty形式変換。 poderosaの場合もPuttyのKeygen Puttyで鍵を指定する。 サーバー側での手順 debian00:~# ssh-keygen -t rsa # 1. 鍵を作成 Generating public/private rsa key pair. Enter file in which to save the key (/root/.ssh/id_rsa): Created directory '/root/.ssh

WinでVPSするのに必要なソフト 何はともあれPuTTY。PuTTYはVPSと通信する為のソフト。他にもTeraTermなどあるけど、よく分かんないならPuTTY。 Windowsのsshクライアント三強の個人的な比較 | 全自動ねじまき機 さくらのコンパネでサーバーを起動したらWinでPuTTYを起動してVPSを操作する。コンパネにある「リモートコンソール」は基本的に緊急時に使うもの。ちなみに私はサーバー起動後にさらに一回再起動しないとPuTTYで入れませんでした。 PuTTYでVPSのコンソールを表示するのが、Macにおける「ssh [email protected]」と同じです。これでドットインストールをガシガシ進めます。 ドットインストールの該当範囲 さくらのVPSへ接続してみよう 作業用ユーザーを設定しよう 日本語確認で化けます。PuTTYの文字コードをEUCからUTF-8に変