「はてなのサーバーに不正侵入」記事へのコメント

internet watchじゃなくて

[Anonymous Coward]

一次ソース [hatena.ne.jp]

Re:internet watchじゃなくて

[Anonymous Coward]

基本的に、sshで鍵認証のみ許可とか、ものによってはネットワークごしのログイン不可、なんでしょうね。

Re:internet watchじゃなくて

[shojin (28072)]

『社内で定めておりますセキュリティポリシーが一部正しく遵守されていない状態』と言っているので、sshでパスワード認証によりログインできるというのはポリシーを守っていない状態なんでしょうね。それから推察するとsshでは公開鍵認証を使うべしというのがポリシーだったのでしょうね。

まあ、パスワード認証が空いた状態になるありがちな設定ミスはusePAM yesですね。
PasswordAuthenticationやChallengeResponseAuthenticationは設定ファイルをみると一目瞭然なのですぐにnoにしますが、usePAMというのは一見そういうのには見えませんから。しかし、多くのsshd用のPAMの設定にはパスワードで認証するものが普通に入っているので、これを殺しておかないとパスワード認証が許されてしまうのです。
ちなみに、あるホストがパスワード認証を許さない設定かは秘密鍵の名前を変えて使えないようにした上でそのホストにsshすると、『Permission denied (publickey).』と表示されるのでわかります。これを応用すると公開鍵認証設定自動調査プログラムを作れますね。

Re:internet watchじゃなくて

[tsekine (18956)]

秘密鍵の名前を変えて使えないようにした上で

ssh -i non-existent-filename -o PreferredAuthentications=publickey ...

とかすると、わざわざ秘密鍵の名前を変えなくてもいいし、サーバーへの負担もへるのでは? それとプログラムを作るのであれば Python で twisted [twistedmatrix.com] あたりを使ってもいろいろできそうですね。ドキュメント足りなすぎだけど。

Re:internet watchじゃなくて

[shojin (28072)]

ssh -o PreferredAuthentications=keyboard-interactive,password ホスト名
ではないのですか？

目的は『公開鍵認証ができるかを調べる』ことではなくて、『パスワードを使った認証ができない』ことを調べるので下記のオプションの使い方は少し違うかと思います。
実際、FreeBSD 6.2RのOpenSSHを使って調べたところ、下記の方法では-iが失敗した時点でいつも使っている秘密鍵を使ってログインしてしまいます。
> ssh -i non-existent-filename -o PreferredAuthentications=publickey ...

Re:internet watchじゃなくて

[tsekine (18956)]

ssh -o PreferredAuthentications=keyboard-interactive,password ホスト名

ではないのですか？

そうですね(汗。寝ぼけてました。

どうやったら「ありがち」になるんだろうか

[Anonymous Coward]

わざわざ注意書きまでしてあるusePAMが無関係なんてどこに目が憑いてるんだろうかと思うのは別としても、
バージョンが同じでもバックポートされてる事もあるし挙動は同一なわけでもない。最後の段落についても同様。

Re:どうやったら「ありがち」になるんだろうか

[shojin (28072)]

某所で管理させられているDebianサーバーのsshd_configには何の注意書きもコメントもないですね。
一方、生活OSであるFreeBSDのsshd_configにはPAM認証がChallengeResponseAuthenticationやPasswordAuthenticationをバイパスする旨が明記されています。
まあ、ディストリビューションによってはそんな注意を促してくれないので自分で注意しましょうということで。

Re:どうやったら「ありがち」になるんだろうか

[Anonymous Coward]

UsePAMのコメントって、
# Set this to 'yes' to enable PAM authentication, account processing,
で始まるものでしょうか?

Debianのパッケージをみたのですが、オリジナルのソースに付属のsshd_configを利用せず、postinstファイルでシンプルなものを生成・加工しているようです。それはそれで理由があるとは思いますが、オリジナルのsshd_configのコメントを捨てるのはもったいなさすぎ。

Re:どうやったら「ありがち」になるんだろうか

[shojin (28072)]

> UsePAMのコメントって、
> # Set this to 'yes' to enable PAM authentication, account processing,
> で始まるものでしょうか?

その通りです。

Debianは簡略化することで見やすくしようという意図でやっているのでしょうけれど、コマンド3つ打てば同じことが実現できるのを重要なコメントを失うことまでして最初からやる必要なんてあるんでしょうか。ちなみに、#をコメントにしている設定ファイルに共通ですから、ファイル名を変数にしたシェルスクリプトを作るとコマンド1つになります。
> cat /etc/ssh/sshd_config | grep -v '^#' | grep -v '^$'

Re:どうやったら「ありがち」になるんだろうか

[b-wind (13096)]

つまらないツッコミだけど、

$ egrep -v '^(#|$)' /etc/ssh/sshd_config

一発でいけます。

Re:internet watchじゃなくて

[Anonymous Coward]

設定を変えたときにそれを日本語で丁寧に文書化して、何を設定したのかわかりやすく解説してくれるソフトがあればおじいちゃんにも安心だ。