vpsおよびクラウドシステムに於けるsshの安全性(仕様に於ける脆弱性)について

■ 問題の原点 まず、世に存在するvpsやクラウドシステムには、基本的には2種類の構成が存在している。このうちコンテナ型と呼ばれる構成では、予め必要とされてるsshやメールなどの基本的な内容が初期段階より構成されており、コンテナを選択するだけですぐにシステムの構築が出来る、手軽さが売りになっている。このコンテナには、予めsshが組み込まれていることが多く、そのため管理者のpasswordがデフォルトで決めうちになっている場合も多い。管理者のpasswordをデフォルトで放置していた場合、外部からの攻撃によって、あっさりと侵入を許してしまうことがある。 本題は、ここからだ。このsshが最初からインストールされている＝ホストキーが最初から入っている＝同じコンテナを使う限りホストキーは変わらない。ということになる。 また、vpsやクラウドシステムが大規模になればなるほど、この傾向は強まり、/16

[rryu]

ホストキー再生成しないとかrootのクレデンシャルが同じとか、そもそもサービスとして脆弱すぎるような。

[enemyoffreedom]

「sshが最初からインストールされている＝ホストキーが最初から入っている＝同じコンテナを使う限りホストキーは変わらない。ということになる」

[tmatsuu]

Amazonの野良AMIなどはこの懸念があるので、CloudFormationなどで作るのがいいよ。ちなみに俺が過去に作ったgentoo AMIはホストキーがない状態なので必ず初回起動時生成するようにしてた。

[stealthinu]

VPSではsshのseedキーが同一になっている場合が多いため、契約してseedキーを知れば他のその業者のssh通信を解読出来る可能性を非常に高める事ができる、という指摘。なるほど…