SSH implementation comparisionA technical comparison of various SSH implementations (clients, servers and libraries), in terms of support SSH crypto protocols.
Linux has been bitten by its most high-severity vulnerability in years
Linux has yet another high-severity vulnerability that makes it easy for untrusted users to execute code capable of carrying out a host of malicious actions, including installing backdoors, creating unauthorized user accounts, and modifying scripts or binaries used by privileged services or apps. Dirty Pipe, as the vulnerability has been named, is among the most serious Linux threats to be disclos
踏み台EC2を廃止してSession Manager接続に置き換えました
こんにちは、エウレカ SRE チームの原田です。 今年 (2021年) エウレカでは、公開鍵認証で接続するEC2の踏み台サーバを廃止し、代わりに各サーバへの接続をIAMで認証できるSSM Session Managerへのリプレースを行いました。本記事ではそのモチベーションや、実装のポイントを紹介していきたいと思います。 旧来の踏み台サーバ 旧来の踏み台サーバエウレカで長く運用されていた踏み台サーバ (Gateway) は以下のようなものでした。 各開発者は、自分の秘密鍵を使って踏み台サーバへSSHを行う ( 踏み台サーバ上には各開発者の個別ユーザーおよび公開鍵が登録されている )踏み台上では、接続が許可されているSSH対象のサーバの秘密鍵がユーザー毎に配置されており、その鍵で各サーバにSSHするMySQL / Elasticsearch / Redis など、Private Subnet
[AWS]監査ログを悪意ある削除から守る | DevelopersIO
コンニチハ、千葉です。 監査ログを悪意ある削除から、何が何でも守っていくぞのコーナーです。 みなさんは、AWSの監査ログ(CloudTrail)をどのように保護していますか？ CloudTrail を保護するために CloudTrail ログファイルの整合性の検証を有効化 CloudTrail ログファイルを暗号化 S3上のファイルを削除から守るために MFA削除の設定 が考えられます。 よし、保護している！って思っても、ユーザーが Admin 権限を持っている場合、暗号化していようが整合性チェックしていようがデータは削除可能です。しかも、 CloudTrail のレコーディング自体を停止 もできちゃいます。つまり、監査ログが保存されなくなり、何が行われたのか調査が難しくなります。 もしも、万が一、強い 権限がある Admin が第３者に渡ったとしても、大切なログを守りたいです。Admin
![[AWS]監査ログを悪意ある削除から守る | DevelopersIO](https://cdn-ak-scissors.b.st-hatena.com/image/square/3a9299c22c271be79f273b6db38d8ba6bc81bd1c/height=288;version=1;width=512/https%3A%2F%2Fdevio2023-media.developers.io%2Fwp-content%2Fuploads%2F2021%2F05%2F8823428add162ea6925215296ff8c67f.png)
SSH接続でGitHubにアクセスする際にセキュリティキーによる認証が利用可能に
2021年5月11日、GitHubのセキュリティエンジニアであるケビン・ジョーンズ氏が公式ブログを更新し、SSH接続の認証に物理デバイス「セキュリティキー」が利用できるようになったと発表しました。 Security keys are now supported for SSH Git operations | The GitHub Blog https://github.blog/2021-05-10-security-keys-supported-ssh-git-operations/ Googleの「Titan」やYubicoの「YubiKey」などのセキュリティキーは、外部からのアクセスから保護されている持ち運び可能な物理キーであり、コンピューターとUSBやBluetoothなどで接続して使用する、2段階認証のワンタイムパスワードなどの代替となる手段の1つです。 GitHubはこの度
Security keys are now supported for SSH Git operations
EngineeringSecuritySecurity keys are now supported for SSH Git operationsGitHub has been at the forefront of security key adoption for many years. We were an early adopter of Universal 2nd Factor ("U2F") and were also one of the first… GitHub has been at the forefront of security key adoption for many years. We were an early adopter of Universal 2nd Factor (“U2F”) and were also one of the first si
混沌を極めるWindowsのssh-agent事情 - Qiita
どうしてこうなった。 何の話？ WindowsでのSSH-AGENTとSSHの話です。 この記事での用語: SSHとssh, SSH-AGENTとssh-agent この記事では、SSH-AGENTと書いたときにはカテゴリとしてのSSHエージェントを意味します。 ssh-agentと書いたときには、実行プログラムとしてのssh-agentコマンドを意味します。 同様に、SSHと書いたときにはカテゴリとしてのSSHクライアントを意味します。 sshと書いたときには、実行プログラムとしてのsshコマンドを意味します。 SSH-AGENTって？ SSH-AGENTは、秘密鍵での署名を代行1してくれるツールです。 SSH-AGENT に秘密鍵をロードしてしまえば、あとはパスワード(パスフレーズ)入力なしでSSH認証できる agent forward機能を使うことで、SSHした先でさらにSSHすると
ssh-agent のしくみ - eagletmt's blog
ssh-agent のように daemon として起動し秘密の情報を保持しつつ別プロセスと通信するようなプログラムを書きたくて、ssh-agent はどう実装しているのかざっくり調べた。 https://github.com/openssh/openssh-portable 通信方法 これは普通に ssh-agent を使っていてもすぐ気付くことだけど、ssh-agent は UNIX domain socket を使って通信している。 eval $(ssh-agent) のように実行すると SSH_AUTH_SOCK と SSH_AGENT_PID の2つの環境変数がセットされ、SSH_AUTH_SOCK は UNIX domain socket のパスを、SSH_AGENT_PID は daemon 化した ssh-agent の pid を指している。 SSH_AUTH_SOCK は
え、HTTPSの転送なのにファイルも暗号化するんですか？？？
TL;DR 基本的には二重での暗号は不要 ただし、転送後も暗号化したまま使うなら、転送前から暗号化するのは良い ルールXを無邪気に追加して不整合のあるセキュリティルールを作ってはいけない はじめに 社内のセキュリティルールやスタンダードを決めるときに、HTTPSなのにVPN必須になってたりファイル暗号も必須になってたりするケースたまに見ます。今回は、それは実際に必要なことなのか？ セキュリティ的に有効なのか？ という点で考察をしていきたいと思います。 背景 二重三重に暗号化しても性能ペナルティが無いなら「なんとなく安全そうだから」でOKにしてしまいがちなのですが、これはよく考える必要があります。 というのも 「ルールXを追加することで既存のルールAと不整合が出る」 ってことは割とよくあるからです。具体的には「SCPのファイル転送は（SCPのセキュリティに不備があった時の）安全性のためにファ
Token authentication requirements for Git operations
SecurityToken authentication requirements for Git operationsIn July 2020, we announced our intent to require the use of token-based authentication (for example, a personal access, OAuth, or GitHub App installation token) for all authenticated Git operations.… In July 2020, we announced our intent to require the use of token-based authentication (for example, a personal access, OAuth, or GitHub App
SSH defaults, config, and priorities | Root
Over the years I’ve collected a rather messy ~/.ssh/config which resulted in some undesired behavior as a result of me misunderstanding how the config file prioritizes its options. Today I investigated that. In short, this is what I found: Priority goes from top to bottom Defaults MUST come last Host specificity is NOT a factor of priority Host sections can be specified multiple times Multiple hos
開発者たちが慣れ親しんだ「scp」コマンドはなぜ「時代遅れで柔軟性がなくすぐに修正できない」のか？
リモートサーバーとファイルをやり取りできる「scp」コマンドは、システム管理やソフトウェア開発の現場で長年親しまれてきましたが、オープンソースのSSH実装「OpenSSH」の最新版では利用を控えるべきとされています。手軽にサーバー間のファイル操作を行えるscpが非推奨とされた理由について、Linux開発者のジョナサン・コルベット氏が説明しています。 Deprecating scp [LWN.net] https://lwn.net/SubscriberLink/835962/ae41b27bc20699ad/ scpはSSHプロトコルを使ってリモートサーバーとファイルやディレクトリを送受信できるコマンドで、ローカルでのデータコピーに利用する「cp」コマンドと似た操作体系を持っています。データは暗号化されるため安全なコマンドに思えますが、近年はscpに対する脆弱性が数多く見つかっており「状況
Boundary by HashiCorp
Identity-based access Boundary provides access to applications and critical systems with fine-grained authorizations without managing credentials or exposing your network. Authenticate and authorizeAuthenticate with any trusted identity provider you are already using and authorize access based on granular, logical roles and services. ConnectManage dynamic infrastructure and integrate service regis
AWS、コンテナ実行に最適化したLinux OS「Bottlerocket」正式版リリース
Amazon Web Services（AWS）は、コンテナの実行に最適化したLinuxベースのOS「Bottlerocket」正式版のリリースを発表しました。 Bottlerocketは一般的なLinux OSが備えるさまざまな機能のなかから、コンテナの実行に必要な機能だけを残して徹底的にスリムダウンし、セキュリティなどを強化したLinuxベースのOSです。Pythonなどスクリプト言語の実行系はもちろん、シェルやSSHも省かれています。 Linuxカーネルとコンテナの実行に必要な最小限のソフトウェアで構成されるため、性能上のオーバーヘッドが小さくなっているだけでなく、セキュリティの脆弱性につながるような外部との境界面も小さくなっています。 ブート時には自己の整合性をチェックして起動。SELinuxの強制アクセス制御により、Bottlerocket自体への変更も特権コンテナからの変更のみ
SSHの公開鍵暗号には「RSA」「DSA」「ECDSA」「EdDSA」のどれを使えばよいのか？
リモートでコンピューターにアクセスするためのプロトコルであるSSHは、コンピューターの認証を行うために公開鍵暗号を利用しています。公開鍵暗号の方式には「RSA」「DSA」「ECDSA」「EdDSA」があり、それぞれの仕組みと「SSHに適した方式」についてソフトウェア企業「Gravitational」のVirag Mody氏が解説しています。 Comparing SSH Encryption Algorithms - RSA, DSA, ECDSA, or EdDSA? https://gravitational.com/blog/comparing-ssh-keys/ 公開鍵暗号は、暗号化と復号に別々の鍵を用いる暗号方式のこと。例えば、ボブとアリスがやり取りを行う時、アリスは秘密鍵と公開鍵を作成し、公開鍵をボブに渡しておきます。ボブはアリスの公開鍵でメッセージを暗号化してアリスに送信。暗号
ssh-rsa，非推奨のお知らせ
2020-05-28T14:11+9:00 追記 これは SHA-1 を用いた RSA 鍵についての話で，OpenSSH 7.2 以降で生成・利用される RSA 鍵はまだ利用可能です 2020-05-28T19:27+9:00 追記 既に生成されている RSA 鍵でもホスト・クライアントの両方が OpenSSH 7.2 以降ホスト・クライアントの両方が OpenSSH 7.2 以降，ただしサーバー側は OpenSSH 7.4 以外であれば SHA-2 で署名するので大丈夫なようです。（OpenSSH 7.4 はバグがあるようです） ssh-rsaという名前は"公開鍵の形式"と"公開鍵を使った署名方式"の二つで使われていて、廃止対象となっているのは署名方式の方だけです。なのでOpenSSH 7.2以降を入れれば、鍵自体は古いOpenSSHで生成した物がそのまま使えます。 — いわもと こうい
ファイアウォール機能に特化したLinuxディストリビューション「IPFire 2.21 Core 124」リリース、AWSでも利用可能に | OSDN Magazine
IPFireはオープンソースのファイアウォール向けLinuxディストリビューション。複雑なファイアウォール設定を容易に行えるという。 IPFire 2.21 Core 124は、9月初めに公開された同Core 123に続く最新安定版。Linuxカーネルのバージョンは4.14.72となり、特権のないユーザーによる一部メモリへのアクセスを禁じるセキュリティ機能が有効になるなどの変更が行われた。そのため、アップデートの際にはインストール後に再起動が必要という。 OpenSSHはopenssh 7.8p1を採用し、内部で動くSSHデーモンのセキュリティを強化するパッチも適用した。SSHを有効にしているユーザーは、最新の暗号と鍵アルゴリズムが必要という。SSHクライアントで鍵をグラフィカルに表示する機能が有効となり、コンソールを使う管理者は容易に中間者攻撃を発見したり、比較できるという。 IPFir
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
14 Best Practices to Secure SSH Bastion Host
https://twitter.com/jingbay/status/1459554512365142024
AWS Control Towerを利用したマルチアカウント管理とセキュリティ統制
