OpenSSH 4.4リリース

iida曰く、"OpenSSH 4.4 (及び 4.4p1) がリリースされた。4.4 リリースノートによると、3件のセキュリティー・バグに対応した模様。この 3件のうち 2件は GSSAPIを有効にしたクライアント側のようだが、残りの1件はサーバー側のDoSとのことだ。
このほかリリース・ノートには、立上げファイルの条件文、SHA256を使ったDH鍵交換などといった新機能や、たくさんのバグ・フィクスがリストアップされている。メンテナ諸氏に改めて感謝したい。"

新機能一覧

[shojin (28072)]

誰も書かないので新機能の一覧を。
間違っていたら指摘してくださいな。

- Match命令の実装
sshd_configにmatch命令が使えるようになったことで、
ある状態のときのみに適用したいオプションを適用
出来るようになった。

- DH鍵交換の最後のhashにSHA256を使えるようになった
- ForceCommandオプション
sshd_configにForceCommandを書くことで
authorized_keysにcommand="..."と書いた時同様、
所定のコマンドしか実行できなくすることができる。
上で述べたMatchと一緒に使うと、特定のユーザーには
特定のコマンドしか実行できなくするということが
できる。

- PermitOpenオプションの追加
sshd_configにて指定することで、
authorized_keysのpermitopen="..."と同様
(自分はこんなオプションは知らないが)、
ポートフィワーディングで開くportを制限することが
できる。

- sftp-serverで行った処理のログを取れるようになった
- 標準的でないポート番号への接続要求のときに、
    authorized_keysにホストへのポート番号を
    sshが記録するようになった。
    (これはauthorized_keysではなく、
    known_hostsの誤植なのでは？)

- ExitOnForwardFailureオプションの追加
要求されたポートフォワードが確立できなかった
ときに接続を終了する。

- SubSystemがオプションを取れるようになった
- 整数値のオーバーフローを起こす危険性が大きい
    malloc、reallocをオーバーフローチェックをする
    実装へと置き換えた

------ portable 専用機能 -----
- SELinuxへの対応
- Solarisプロセス規約への対応
- SSL暗号化アクセラレーターへの対応

Re:新機能一覧

[kjm (1606)]

標準的でないポート番号への接続要求のときに、 authorized_keysにホストへのポート番号を sshが記録するようになった。 (これはauthorized_keysではなく、 known_hostsの誤植なのでは？)

確かに……。手元で OpenSSH 4.4p1 な ssh を非標準ポートなサーバに対して接続してみたら、

[hogehoge]:2222,[133.83.xx.xx]:2222 ssh-dss AAAAB3NzaC1kc3MAAAEB……

というknown_hostsが生成されました。

Re:新機能一覧

[Anonymous Coward]

>標準的でないポート番号への接続要求のときに、
>authorized_keysにホストへのポート番号を sshが
>記録するようになった。
sshdのPortをPort Fowardした時にFoward元のhostの
ハッシュとFoward先のhostのハッシュが一致してい
ない警告が出なくなる？

FireWallの向こう側のsshに接続するときにPort Foward
することが多いからありがたい。
known_hostsの行を毎回消すの面倒だったし。
消してるとMan in the Middleされてもわからないし

Re:新機能一覧

[kjm (1606)]

sshdのPortをPort Fowardした時にFoward元のhostの ハッシュとFoward先のhostのハッシュが一致してい ない警告が出なくなる？

それはHostKeyAliasを使って回避すべき場面なのでは? SSH, The Secure Shell: The Definitive Guide, Second Edition [oreilly.com] に出ている例:

$ ssh -L 2001:david:22 goliath
$ ssh -p 2001 -o HostKeyAlias=david localhost

Re:新機能一覧

[znz (2728)]

今はそういうホストには~/.ssh/configに

Host 向こうのhost.example.jp
        Hostname firewall.example.jp
        Port forwardしているポート
        UserKnownHostsFile ~/.ssh/known_hosts.向こうのhost

という設定をしています。

おまけの利点として、known_hostsをわけていると、大きくなっている~/.ssh/known_hostsを使う接続に比べて接続が速い気がします。

Re:新機能一覧

[druaga (13366)]

- Match命令の実装
sshd_configにmatch命令が使えるようになったことで、
ある状態のときのみに適用したいオプションを適用
出来るようになった。

openssh は使用ポートを複数指定することができますが、
これを使えば、22番ポートの時は厳しいポリシーで、それ以外のポートのときは
比較的緩いポリシーで、というような使い分けができるようになる？

Re:新機能一覧

[jl4cvb (4926)]

ってことは、
　ポート10022はアカウントtunnel のみ接続可
　ポート10023はアカウントtunnel_other,tunnel が接続可
としておいて、iptables で
　ポート10022からは色々とフォワード可
　ポート10023からはローカルのproxyポートにのみフォワード可
とすれば、他人にはプロキシにだけ使えるトンネルを、自分は色々使えるトンネルを提供出来る……のかな。

プロキシサーバもポートも二つ用意してaclで制御すれば、自分のサーバを保護しつつ AIR-EDGEの圧縮プロキシサーバを用意できそうだ。

OpenSSHの商用利用(-1:オフトピック)

[Anonymous Coward]

会社で安全なファイル転送方法について話しているときに、OpenSSHを挙げた人に対して一人の先輩が「OpenSSHの商用利用はライセンス料がかかるのご存じない？？」と言っていました。

http://www.openssh.com/ja/features.html [openssh.com] ではしっかりと「どんな目的でも使用可。商用の利用も含む」とあります。
が、その人は"OpenSSHの商用利用には使用料が必要"という確固たる自信があるようで、「それはOpenSSHでなく、商用のSSHでは？」と言っても聞く耳をもってくれません…
# オフィシャルには「～開発には費用がかかっているため～とくに商用システムの～
# どうか当プロジェクトへの寄付をご検討ください。」とはありますが(先輩の都合のいいように引用)

その人は、世の中のSSHの実装がOpenSSHしかなく http://www.ssh.com/ [ssh.com] などの「商用のSSH」とごっちゃにしててるのでは？
と私は思ってるのですが、どうなのでしょう？

# Debianなんかのライセンスに厳しいシステムで標準インストールされるのに
# 商用利用に金が必要とは考えられないんですが…

Re:OpenSSHの商用利用(-1:オフトピック)

[Anonymous Coward]

あなたの勤務先は Sun Microsystems だったりしませんか?

Re:OpenSSHの商用利用(-1:オフトピック)

[Phalacrocoracidae (29780)]

もしくはあなたの上司は Theo だったりしませんか?

# Theoの発言から寄付をライセンス料と勘違いしてるのかもね

--
しないさせない！スルー力

Re:OpenSSHの商用利用(-1:オフトピック)

[Anonymous Coward]

>その人は、世の中のSSHの実装がOpenSSHしかなく http://www.ssh.com/ [ssh.com]
>などの「商用のSSH」とごっちゃにしててるのでは？
>と私は思ってるのですが、どうなのでしょう？

その可能性なきにしも。
今年のインタロップでもSSHのブースあったし。

# OpenSSHと比較してのアドバンテージ、担当のお兄さんもちょっと苦吟してた気がする。