富士通 SS研究会 2000/11/15 KEK 高エネルギー加速器研究機構 計算科学センター 八代茂夫 KEKの計算機環境とSSH 富士通 SS研究会 2000/11/15 KEK 高エネルギー加速器研究機構 計算科学センター 八代茂夫 2000/11/15 Shigeo.Yashiro@kek.jp

KEKの主要な計算機システム 性能 共通計算機 PS実験、その他 KEKB計算機 計算機システム プロジェクト ３１２３SPECint95 原子核計算機 原子核実験 ８３５ SPECint95 スーパー計算機 理論物理、数値物理 １２００　Gfloｐｓ 2000/11/15 Shigeo.Yashiro@kek.jp

なぜ SSH を導入したのか 国内外の共同研究者に計算機環境を提供する必要性 パスワード通信を暗号化 リモートログイン, ファイル転送 slogin, ssh <-- telnet, rlogin, rsh sftp <-- ftp 2000/11/15 Shigeo.Yashiro@kek.jp

SSHの機能 すべてのデータを暗号化 暗号システムを使ったホスト認証 Xのフォワーディング機能 ポートフォワーディング機能 通信の内容を保護 IPアドレス偽装, IPソースルーチング, DNS偽装, といった不正アクセスの攻撃を防ぐ. Xのフォワーディング機能 XクライアントをFW越えされることに利用可. ポートフォワーディング機能 proxy(中継サーバ)を作成して通信. ftp や pop などのセキュアでない通信と組み合わせて利用 2000/11/15 Shigeo.Yashiro@kek.jp

SSHのバージョン フィンランドの Tatu Ylonen が開発 現在 SSHのプロトコルの標準化 SSH Communication Security社 (SSH社)がプログラムの開発 F-Secure Corporation が製品化 日本での販売は（株）山田洋行 SSHのプロトコルの標準化 The Internet Engineering Task Force (IETF) 2000/11/15 Shigeo.Yashiro@kek.jp

フリーのSSH OpenSSH LSH OSSH OpenBSDのプロジェクトとして開発 SSH 1.2.12 をベースとして開発 1999年後半に公開 LSH GNU ライセンス扱い OSSH ライセンス記述が見当たらない. 2000/11/15 Shigeo.Yashiro@kek.jp

SSH プログラムのバージョン 最新バージョン プロトコル ＳＳＨ ２.x 2.3.0 Version 2 (+1) ＳＳＨ 1.２.x 1.2.30 Version 1 OpenSSH 2.2.0 (2000/9/7) Version 2 & 1 LSH 1.0.7 (2000/3/15) Version 2 OSSH 1.5.6 (2000/7/5) 2000/11/15 Shigeo.Yashiro@kek.jp

各プログラムの機能の比較 ＳＳＨ２ ＳＳＨ1 LSH OSSH X forward yes no ? Port forward -L, -R OpenSSH LSH OSSH X forward yes no ? Port forward -L, -R -L scp sftp 2000/11/15 Shigeo.Yashiro@kek.jp

PCクライアント Platform ver. 2 ver. 1 日本語 yes no X forward Yes ? SSH2 TTSSH Win32SSH SSH-Mac NiftyTelnet Platform Win Mac protocol ver. 2 ver. 1 1 & 2 User interface GUI,　ssh2 GUI ssh1 日本語 yes no Available X forward Yes ? Port forward L, R ファイル転送 scp2 scp1 2000/11/15 Shigeo.Yashiro@kek.jp

SSH の行なう認証 サーバホストの認証 サーバホストによるユーザ認証 公開鍵暗号システム 2000/11/15 Shigeo.Yashiro@kek.jp

サーバホストの認証 ( SSH1 ) クライアントホスト サーバホスト ログイン要求 Host-key(公開鍵)を送る Session-keyを作成してHost-keyで暗号化 Private-key によりSession-keyを復号化 サーバを認証 2000/11/15 Shigeo.Yashiro@kek.jp

ユーザ認証 パスワード認証 公開鍵暗号システムによる認証 rhosts + 公開鍵暗号システム で認証 rhosts認証 パスワードは, 暗号化して通信 公開鍵暗号システムによる認証 rhosts + 公開鍵暗号システム で認証 セキュリティが弱くなりかねない rhosts認証 セキュリティが弱い 2000/11/15 Shigeo.Yashiro@kek.jp

公開鍵暗号システムによるユーザ認証 使用のための準備 SSHクライアントホストで1組の公開鍵と秘密鍵を作成 2000/11/15 Shigeo.Yashiro@kek.jp

公開鍵暗号システム RSA によるユーザ認証 クライアントホスト サーバホスト 公開鍵を送る 乱数をユーザの公開鍵で暗号化 暗号文を秘密鍵で復号化, MD5チェックサムを送る MD5チェックサムを確認して ユーザを認証 2000/11/15 Shigeo.Yashiro@kek.jp

X11フォワーディング 2000/11/15 Shigeo.Yashiro@kek.jp

TCP/IPポートフォワーディング % ssh -L Y:HostB:K HostB 2000/11/15 Shigeo.Yashiro@kek.jp

Windowsでの使い方 TeraTerm(Pro) + TTSSH 起動 X11フォワーディング Windows のメニューバー → 「スタート」→ 「プログラム(P)」→「Tera Term Pro」(フォルダ) →「Tera Term Pro」(プログラム) → ttermpro を起動 X11フォワーディング Windows でXサーバが起動されていること TeraTermを起動→メニューバーから「Setup」 →「SSH Forwarding」 → 「Display remote X application on local..」をチェック 2000/11/15 Shigeo.Yashiro@kek.jp

UNIXでの使い方 - ログイン ログイン 公開鍵認証を使う場合には, 前準備が必要 lune % ssh soleil lune % ssh-keygen パスフレーズは空白にしない. (危険!) private-key を登録する. public-key をSSHサーバに転送する. 2000/11/15 Shigeo.Yashiro@kek.jp

UNIXでの使い方 - ファイル転送 scp の例 sftp lune % scp -p file1 soleil:~ lune % scp -p directory soleil:~ 総称文字 lune % scp -p * soleil:~ 軽い暗号システムの使用 lune % scp -p -c blowfish file1 soleil:~ sftp lune % sftp soleil 2000/11/15 Shigeo.Yashiro@kek.jp

UNIXでの使い方 - ファイル転送 ポートフォワーディングの利用 ポートの設定 lune% ssh -L 12345:soleil:21 soleil 別のウィンドウから lune% ftp localhost 12345 Connected to localhost. 220 soleil FTP server …... Name (localhost:yashiro): 331 Password required for yashiro. Password: my-PW 230 User yashiro logged in ftp> passive 2000/11/15 Shigeo.Yashiro@kek.jp

UNIX へのインストレーション Configure Make Configuration % ./configure --with-libwrap=/usr/ lib Make % make # make install Configuration TCP wrappers の hosts.allow sshd: LOCAL, .kek.jp sshdfwd-X11: LOCAL sshdfwd-12345: LOCAL, hostname 2000/11/15 Shigeo.Yashiro@kek.jp

SSH とtelnet 2000/11/15 Shigeo.Yashiro@kek.jp

パスワード認証 vs 公開鍵認証 致命的 暗号化 非保存 可能 不可能 異なる 同一 認証の主体ホスト サーバ クライアント パスワード認証 パスワードが漏れたら 致命的 パスワードの保管 暗号化 非保存 パスワード検査 可能 不可能 複数のリモートホストのパスワード 異なる 同一 認証の主体ホスト サーバ クライアント 2000/11/15 Shigeo.Yashiro@kek.jp

F-Secure vs OpenSSH PCクライアント 公開鍵認証 価格 Sftpを追加 Sftp, scp SSH社 DSA ファイル転送 PCクライアント 公開鍵認証 インストレーション 価格 Sftpを追加 Sftp, scp SSH社 TTSSH, Nifty? TTSSH, Nifty DSA DSA, RSA めんどう 容易 フリー 8万円/licence OpenSSH SSH2 2000/11/15 Shigeo.Yashiro@kek.jp