暗号化通信・認証とSSH

• 共有鍵暗号
• 公開鍵認証基盤(PKI)
• SSHの利用
• SSHをバックエンドに利用した通信
• SMTP/POP/VNC の Port Forwarding
• rsync
• CVS, Subversion, Mercurial

共有鍵暗号

• 「開けゴマ」のように送り手/受け手が同じ鍵を共有するのが 共有鍵暗号
• 有史以来20世紀まで主役として用いられて来た
• 暗号の例:

  N Unccl Arj Lrne!		(小学生でも知ってる英語)
  Unccl Unyybjrra!		(最近問題がよく起こる)
  
  Ubj ner lbh?			(中学で習うあいさつ)
  V'z svar gunax lbh.
  
  XBRXV Havirefvgl		(ここ)
  

• 弱点:
  • 離れた相手に最初に鍵を安全に伝えるのが難しい
  • 一度漏洩すると使えない
  • 方式が分かると新しい鍵を作っても見破られやすい
• メリット:
  • 簡単手軽
  • コンピュータ処理が高速

公開鍵認証基盤

• 公開鍵と秘密鍵のペアを持つ暗号・復号化方式
• 基本となる考え方は素因数分解
• 巨大な素数2つの積
• 公開鍵は送信者全てに配付しそれで暗号化してもらい 受け取ったものを秘密鍵で復号化する

SSHを公開鍵で利用する

以下の手順で鍵を作り、公開鍵でログインしてみる。

まず、既に鍵を作成済みでないか確認する。

ls ~/.ssh

ファイル一覧に id_rsa と id_rsa.pub がある場合は作成済みであるので 以下の手順は行なわない。

: SSH接続クライアント側
: 鍵を作る
ssh-keygen -t rsa
Enter file in which to save the key (/home/USER/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/USER/.ssh/id_rsa
Your public key has been saved in /home/USER/.ssh/id_rsa.pub.
The key fingerprint is:
SHA256:dX1ZI3qFnieR0DSGyd+xbd14ORQ08T9BZXVPY4O5NDU USER@HOST
The key's randomart image is:
+---[RSA 2048]----+
|          ..*=BE%|
|           +o@*=%|
|          ..=.O+@|
|         . ..*.BO|
|        S     o+o|
|                .|
|                 |
|                 |
|                 |
+----[SHA256]-----+

続いて、作成できた公開鍵を確認し、ログイン可能な鍵として ~/.ssh/authorized_keys に登録する。

cat ~/.ssh/id_rsa.pub
ssh-rsa ABAAACakljdalkj8kljlk32ljklajfs.....
.................lkjasdXYZ USER@HOST

cat ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys
chmod og-r ~/.ssh/authorized_keys

authorized_keys ファイルへの公開鍵登録は、実際にはログイン先の サーバで行なう必要があるが、本学環境の場合はログイン先もNFSで 同じホームディレクトリを共有しているので接続元のホストでの作業でよい。

続けてログインする。

ssh roy
Enter passphrase for key '/home/USER/.ssh/id_rsa': 

普段のパスワードではなく、ssh-keygen で入力したパスフレーズを入れる。

以上で公開鍵でのSSHログインが可能となる。まとめると、以下の手順となる。

1. ssh-keygen で鍵を作る
2. ログイン先ホストの ~/.ssh/authorized_keys に公開鍵(pub)を 追加する。

ログイン元には ~/.ssh/id_rsa ファイル、ログイン先には ~/.ssh/authorized_keys ファイル内への id_rsa.pub の内容登録が必要である。

SSH秘密鍵の保持エージェント

ssh-agent を利用してSSH鍵のパスフレーズを記憶させておくと、 終了時までパスフレーズなしでログインできる。LinuxやMacでは ログイン時に自動的に ssh-agent を起動してくれている場合が多い。 そうでなければ自力で起動する。起動方法多様だがログイン後に起動するなら 以下がお勧め。

ssh-agent zsh		# または ssh-agent $SHELL
ssh-add
emacs &

あとから起動したEmacsは、ssh 接続でパスフレーズなしで編集できるようになるので先に起動してある Emacs は終了する。