SSHでも二要素認証を使いたい | IIJ Engineers Blog

社会人生活の半分をフリーランス、半分をIIJで過ごすエンジニア。元々はアプリケーション屋だったはずが、クラウドと出会ったばかりに半身をインフラ屋に売り渡す羽目に。現在はコンテナ技術に傾倒中だが語りだすと長いので割愛。タグをつけるならコンテナ、クラウド、ロードバイク、うどん。 【IIJ 2024 TECHアドベントカレンダー 12/6の記事です】 今年のIIJアドベントカレンダーは「運用」がテーマということなので、運用に欠かせない必携ツール筆頭であるSSHを取り上げ、SSHの秘密鍵を安全に管理する方法について考えたいと思います。 たとえSSH秘密鍵が漏洩しても、安全を確保する方法 踏み台サーバにSSH秘密鍵を置かずに利用する方法 SSH秘密鍵の安全な置き場所を考える SSH秘密鍵は一般的に ~/.sshにファイルとして管理されていると思いますが、不安に感じることはありませんか？ ノートPCに

[hiroomi]

"OpenSSHはバージョン8.2（https://www.openssh.com/txt/release-8.2）以降でFIDOに対応しており、既に多くの環境で二要素認証を利用可能です。"

[dollarss]

このブログいつもそうなんだけど、すごく技術的に正しいんだけど、さっさとIIJのサービスに適用してくれよって話で、あそこはforビジネスもコンシューマ向けも2要素認証ないのよ。TOTPアプリまで公開しているのに笑

[take_matsu]

コラム的なのにハイレベルな技術が簡単にまとめられてすごい読みやすい、こういう文章を書きたい

[nunota]

“二要素認証を有効化した秘密鍵ペアの公開鍵”だけを受け入れる設定は無いんだろうなぁ…。そこを人に依存させると、何度でもインシデントは起きると思う。パスフレーズと根本は変わらない。

[rrringress]

mac のターミナルだとどうなるのか調べてみよう

[yarumato]

“SSH秘密鍵は一般的に ~/.sshにファイルとして管理。そのPCを紛失したら？　どう鍵を管理する？　サーバサイドには手を加えることなく、クライアント側のアップデートだけで利用できるので、思いのほかハードルが低い”

[spark7]

『それで十分とは言い切れません』パスフレーズ付きの秘密鍵なら既に二要素な気もするが。所有要素と知識要素。これに生体とかのパスキーを加えるなら三要素認証だ。

[strawberryhunter]

設定したいと言われて調べたことある。安全性は高まるけど、単一障害点が増えるのはどうかなって思った。

[s_rsak]

これはいい。PCに不正アクセスされてもサーバーへのアクセスはブロックできる。

[shikiarai]

流石にこんな時間なので後で

[icestorm5]

別デバイス触るのめんどいからwinauth使ったOTPでできたら便利そうね。後でやってみよ

[mojimojikun]

最近のOpenSSHはFIDOに対応してるんか。しらんかった。

[hylom]

弊社環境だと別の方法でSSHでの二要素認証を実現しているけどこちらのほうがシンプルに実現できる……気がする

[toyoshi]

公開鍵暗号方式は秘密鍵が漏れなければ無問題という方式なので、秘密鍵が漏れないように二要素認証を持ち込むのはいいがSSHに二要素認証を求めるのは根本をわかってないのでは？

[zoidstown]

2000年代頃からPOP-AUTHで二段階認証的なSSH接続を提供してた@YMCのレンタルサーバーサービスは先進的だった？ http://www.yuumediatown.com/diary/blog01/archives/2023/08/20230824-001.html

[m50747]

そもそも秘密鍵の入ったノートパソコン紛失したなら、サーバー側の公開鍵消せよって話。その為の公開鍵方式だから。ノートパソコン見つかったらキーペア作り直して新しい公開鍵を登録する。パスフレーズ必須ね。

[IGA-OS]

FIDO対応・・・やれるところからやる🥺

[Shinwiki]

めんどくせえからtelnetでいいよもう

[b-wind]

要はWindowsのパスキーで認証すると言う事かな？パスフレーズは必要だろうか。