「はてなのサーバーに不正侵入」記事へのコメント

internet watchじゃなくて

[Anonymous Coward]

一次ソース [hatena.ne.jp]

Re:internet watchじゃなくて

[Anonymous Coward]

基本的に、sshで鍵認証のみ許可とか、ものによってはネットワークごしのログイン不可、なんでしょうね。

Re:internet watchじゃなくて

[shojin (28072)]

『社内で定めておりますセキュリティポリシーが一部正しく遵守されていない状態』と言っているので、sshでパスワード認証によりログインできるというのはポリシーを守っていない状態なんでしょうね。それから推察するとsshでは公開鍵認証を使うべしというのがポリシーだったのでしょうね。

まあ、パスワード認証が空いた状態になるありがちな設定ミスはusePAM yesですね。
PasswordAuthenticationやChallengeResponseAuthenticationは設定ファイルをみると一目瞭然なのですぐにnoにしますが、usePAMというのは一見そういうのには見えませんから。し

Re:internet watchじゃなくて

[tsekine (18956)]

秘密鍵の名前を変えて使えないようにした上で

ssh -i non-existent-filename -o PreferredAuthentications=publickey ...

とかすると、わざわざ秘密鍵の名前を変えなくてもいいし、サーバーへの負担もへるのでは? それとプログラムを作るのであれば Python で twisted [twistedmatrix.com] あたりを使ってもいろいろできそうですね。ドキュメント足りなすぎだけど。

Re:internet watchじゃなくて

[shojin (28072)]

ssh -o PreferredAuthentications=keyboard-interactive,password ホスト名
ではないのですか？

目的は『公開鍵認証ができるかを調べる』ことではなくて、『パスワードを使った認証ができない』ことを調べるので下記のオプションの使い方は少し違うかと思います。
実際、FreeBSD 6.2RのOpenSSHを使って調べたところ、下記の方法では-iが失敗した時点でいつも使っている秘密鍵を使ってログインしてしまいます。
> ssh -i non-existent-filename -o PreferredAuthentications=publickey ...

Re:internet watchじゃなくて

[tsekine (18956)]

ssh -o PreferredAuthentications=keyboard-interactive,password ホスト名

ではないのですか？

そうですね(汗。寝ぼけてました。