GitHubユーザーのSSH鍵6万個を調べてみた - hnwの日記

（2015/1/30 追記）時期は不明ですが、現時点のgithub.comはEd25519鍵にも対応しています。 （2016/5/31 追記）「GitHubにバグ報告して賞金$500を頂いた話」で紹介した通り、既に弱い鍵はGitHubから削除され、新規登録もできなくなっています。 GitHub APIを利用して、GitHubの31661アカウントに登録されているSSH公開鍵64404個を取得してみました。抽出方法*1が適当すぎて偏りがあるような気もしますが、面白い結果が得られたと思うのでまとめてみます。 SSH鍵の種類 鍵の種類 個数 割合 RSA鍵 61749 (95.88%) DSA鍵 2647 (4.11%) ECDSA鍵 8 (0.01%) 約6万個の鍵のうち、8個だけECDSA（楕円DSA）鍵が見つかりました！常用しているのか試しに登録してみただけなのかはわかりませんが、何にせよ

[Magicant]

Windows の人は Putty/WinSCP がデフォルトで 1024 ビットの鍵を作るので要注意

[Haaaa_N]

え、用途ごとに鍵を変えるのは普通では 暗号解読より流出する方が現実的危険では

[naga_sawa]

似たようなことをする際には、強度不十分な鍵は弾くようにしたほうがよさげ

[kazuhooku]

良エントリ/登録する公開鍵は、GitHubのパスワード以上の安全性を持ち得ないし、専用のものを使い回すのがいいのかなぁ

[raimon49]

ssh-keygen -l -f filenameで鍵長を確認可能。そろそろ1024bitは捨てる時期。

[isrc]

「GitHubにバグ報告して賞金$500を頂いた話」で紹介した通り、既に弱い鍵はGitHubから削除され、新規登録もできなくなっています。

[nezuku]

↓今のPuTTYgenはデフォルトの鍵長2048ビットに上がっている?ようですね

[ginpei]

GitHubが提供する、利用者のSSH公開鍵を取得するAPIを用いて鍵の種類と長さを調べた結果。RSA 2048bitがほとんど。一部妙に弱いものを利用している人がいる。

[kk_Ataka]

2014/07時点でGitHubに登録されてる鍵の分布

[matador3000]

“ssh-keygen -l -f $HOME/.ssh/id_rsa.pub”

[riocampos2]

はてブみてると「用途別に違う公開鍵をつかってる」とのコメントが多い。パスワード流用NGと同じ考え方が必要なんだな。 GitHubユーザーのSSH鍵6万個を調べてみた - hnwの日記

[riocampos]

はてブみてると「用途別に違う公開鍵をつかってる」とのコメントが多い。パスワード流用NGと同じ考え方が必要なんだな。

[epy0n]

“ECDSA”

[uehaj]

"1024bit以下のDSA鍵とRSA鍵はそろそろ捨てるべき"

[indication]

githubのIDがどこにもなさそうだったので、ソース眺めてたら、octolytics-actor-idっぽいので、数値を見たら外れてた。残念...じゃない

[tadahiko_kawana]

面白い記事だなぁ。ブコメの反応合わせて実に面白い。

[rochefort]

ECDSAかっこいい

[tarchan]

＞前提として「十分な強度の鍵ペアを使っている」ことも必要

[richard_raw]

わけも分からず作ってそれっきりなのでチェックしないと……。

[kasumani]

GitHubユーザーのSSH鍵6万個を調べてみた GitHub APIを利用して、GitHubの31661アカウントに登録されているSSH公開鍵64404個を取得してみました。抽出方法*1が適当すぎて偏りがあるような気もしますが、面白い結果が得られたと思う

[nyomonyomo]

RSA2048bitの鍵をgithub専用に使ってるけど別に面倒な事って無いけど、あっちこっちのマシンで作業する人は同じ鍵使いがちとかなのかな？

[delphinus35]

ECDSA鍵って知らなかった。使ってみよう。

[t_yamo]

これは面白い記事だ。

[n0ts]

SSH 鍵について、素晴らしいまとめ

[masakih]

ssh鍵、もう何年も変えてないや　やばい？

[shin1x1]

自分の鍵をチェックしておこう

[igrep]

やっぱり用途ごとにわけないとね。

[Itisango]

“「暗号技術調査WG（計算機能力評価）活動報告」(PDF)の8ページ目のグラフを見る限り、あと数年くらいの間は、1024bit RSA鍵の解読に世界トップレベルのスパコンを1年占有するくらいの計算量が必要そうです。”

[y-kawaz]

大昔は1024bitのRSA使ってて、SSH2の頃にRSAは特許が云々でDSA推奨されてたから1024bitのDSAにして、そのうちRSAの特許が切れたのでそのタイミングで4096bitのRSA鍵を使うようになり今に至る。普通と思ってたが案外少数派なのか。

[KOBA5884]

公開鍵周りのお話は苦手なのでこれを機に勉強し直したいところ。

[asuma-slv]

ECDSA鍵って始めて聞いた。調べてみて利用できるなら使おう。私はGitHubの鍵はそれ専用で登録したんだよな〜今使っている鍵も順次ECDSA鍵に入れ替えていくべき?

[wasai]

これ見ると、うちの職場のほうが意識低いな(；´Д｀)

[mkusunok]

最近のOpenSSHはECDSA鍵なんてつくれるのか。やっぱりLinux環境も手元に置いておいた方がいいのかなぁ

[atotto]

見直しておこう