GNU social JP
  • FAQ
  • Login
GNU social JPは日本のGNU socialサーバーです。
Usage/ToS/admin/test/Pleroma FE

  • Public

    • Public
    • Network
    • Groups
    • Featured
    • Popular
    • People

Conversation

Notices

  1. Embed this notice
    zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 14-Sep-2023 06:55:55 JST zunda zunda
    • かき@GNUsocialJP

    家のsshサーバは家の外からsshする時は第2要素を要求するようにしてるよ

    https://qiita.com/zunda/items/326f4084efda177a22d1
    https://qiita.com/zunda/items/c61528397ca49ba797c6

    In conversation about a year ago from mastodon.zunda.ninja permalink

    Attachments

    1. No result found on File_thumbnail lookup.
      SSHの第2要素にTOTPかYubico OTPを利用する - Qiita
      家のサーバにTOTPでログインできるようにすると、当然次はYubico OTPを利用して、YubiKeyをポチっと触るだけでログインできるようにしたくなります。git pushするたびに6桁の数字を確認するのはちょっとたいへん。TOT...
    • turtton likes this.
    • Embed this notice
      zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 14-Sep-2023 10:37:04 JST zunda zunda
      in reply to
      • 斎藤ただし
      • かき@GNUsocialJP

      @tadd です。踏み台ホストのrootの人はそこに置いてある私有鍵を読むことができます。それでも、落とすかもしれない。携帯電話やYubiKey (第2要素しては使っている) にssh私有鍵を入れておくよりは安全と感じています。

      In conversation about a year ago permalink
    • Embed this notice
      斎藤ただし (tadd@best-friends.chat)'s status on Thursday, 14-Sep-2023 10:37:05 JST 斎藤ただし 斎藤ただし
      in reply to

      @zundan この最初の「解析されると怖い」というのは、私有鍵がすでに攻撃者から盗み見られる状況を想定しているのでしょうか？

      In conversation about a year ago permalink
    • Embed this notice
      ikeji (ikeji@ostatus.ikeji.ma)'s status on Thursday, 14-Sep-2023 11:25:32 JST ikeji ikeji
      in reply to
      • 斎藤ただし
      @tadd @zundan 持ってないのですが、yubikeyにパスワードはかけられないのでしょうか？また、yubikeyを落としたら、単純に秘密鍵を無効化するのではだめなのでしょうか？
      (自分の気が付かないうちに)取り出せるところに秘密鍵を置くのは怖い気がするのですが。
      In conversation about a year ago permalink
    • Embed this notice
      zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 14-Sep-2023 11:25:32 JST zunda zunda
      in reply to
      • ikeji
      • 斎藤ただし
      • かき@GNUsocialJP

      @ikeji @tadd YubiKeyにパスワード(PIN)をかけられます。試していないのですが、SSH私有鍵としてYubiKeyを使う場合はYubiKeyに格納されたOpenPGP私有鍵を使うだろうと思います。この場合YubiKeyはSecurecardとして働いて、ホストのSecurecardデーモンから署名や復号を依頼する時にホストからPINを送るようです。3回間違えると私有鍵を利用できなくなるそうです。

      この記事に書いたのはYubiKeyの普及前からあったセットアップだったので踏み台に私有鍵が置きっぱなしになっています。また、Securecardデーモンが無い端末からでもログインしたい場合もありそうで、抜け穴を開けたままにしてあります。今から始めるとするともっと安全なセットアップにできそうですね。

      In conversation about a year ago permalink
    • Embed this notice
      斎藤ただし (tadd@best-friends.chat)'s status on Thursday, 14-Sep-2023 11:25:33 JST 斎藤ただし 斎藤ただし
      in reply to

      @zundan なるほどなるほど、前提分かってなくてすみません。
      とするとTOTPの追加は、踏み台ホストのroot権限が第三者に取られた場合に備えている、 ということでしょうか？なかなかにハードな要件ですね……いや、また自分が勘違いしてそうな気もします。

      In conversation about a year ago permalink
    • Embed this notice
      zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 14-Sep-2023 11:33:06 JST zunda zunda
      in reply to
      • 斎藤ただし
      • かき@GNUsocialJP

      @tadd Yubico OTPはキーボードとしてUSBポートにつながってるYubiKeyをぽちーして入力される文字列で認証するのでそれほどめんどうではないですよー (Qwerty以外になってるとむっちゃめんどうそうですが)

      In conversation about a year ago permalink
    • Embed this notice
      斎藤ただし (tadd@best-friends.chat)'s status on Thursday, 14-Sep-2023 11:33:08 JST 斎藤ただし 斎藤ただし
      in reply to

      @zundan 元の感想としては、「たしかにsshの二要素目を考えたことなかったなー、なんかやってみようかな」というポジティブな気持ちでした。（今も思ってます、面白そう！） そこから、

      ・外からだと毎回だとめんどくさいなー（怠惰過ぎな自分）
      ・それこそGoogleみたいに、知らないとこからのログインに限って「たまに二要素目を追加」とかできたらいいのに
      ・あれ、どんな時が「たまに」の高リスクになるんだろう？
      ・あ、そもそも何に対応すればいいんだ？？（アホな自分に気付く自分）

      と、いろいろと素人考えを巡らせていた結果の疑問でした。

      In conversation about a year ago permalink
    • Embed this notice
      zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 14-Sep-2023 11:38:09 JST zunda zunda
      in reply to
      • ikeji
      • 斎藤ただし
      • かき@GNUsocialJP

      @ikeji @tadd FIDOやYubico OTPの場合は触るだけで認証が始まるので単一要素だと思います。モデルに依ってはYubiKey内で指紋認証が走るようで、その場合は、うーん、持ち物と生体になるのかな…？ OpenPGPの場合は一定時間ごとにPINを要求されますが、うーん、知識と持ち物になるのかどうか…

      In conversation about a year ago permalink
    • Embed this notice
      ikeji (ikeji@ostatus.ikeji.ma)'s status on Thursday, 14-Sep-2023 11:38:10 JST ikeji ikeji
      in reply to
      • 斎藤ただし
      @tadd @zundan ありがとうございます。参考になります。

      あと、別な疑問として、
      YubiKey本体と、YubiKeyのパスワード、の組は2要素認証と言えるのかが気になってます。
      In conversation about a year ago permalink
    • Embed this notice
      斎藤ただし (tadd@best-friends.chat)'s status on Thursday, 14-Sep-2023 11:38:11 JST 斎藤ただし 斎藤ただし
      in reply to
      • ikeji

      @zundan @ikeji （+900京: 参考になる）（解説ありがたいです！）

      In conversation about a year ago permalink
    • Embed this notice
      zunda (zundan@mastodon.zunda.ninja)'s status on Thursday, 14-Sep-2023 11:47:36 JST zunda zunda
      in reply to
      • ikeji
      • 斎藤ただし
      • かき@GNUsocialJP

      @ikeji @tadd ですねー。個人用途なら自分でリスクを想像して判断するしかないだろうと思いますが、sshd側ではクライアント側の私有鍵の安全性を制御できない(パスワードレスで保管されている鍵対と例えば指紋認証付きのYubiKeyに保管されている鍵対とを見分けることができない)のは怖いかもしれません。企業用途だときっと何かセキュリティの基準があってそれに従うことになるんじゃないかと想像します。

      In conversation about a year ago permalink
    • Embed this notice
      ikeji (ikeji@ostatus.ikeji.ma)'s status on Thursday, 14-Sep-2023 11:47:37 JST ikeji ikeji
      in reply to
      • 斎藤ただし
      @zundan @tadd これが2要素扱いになるとすると、sshサーバー側は何もしなくても2要素になるので嬉しいのですが。
      In conversation about a year ago permalink

Feeds

  • Activity Streams
  • RSS 2.0
  • Atom
  • Help
  • About
  • FAQ
  • TOS
  • Privacy
  • Source
  • Version
  • Contact

GNU social JP is a social network, courtesy of GNU social JP管理人. It runs on GNU social, version 2.0.2-dev, available under the GNU Affero General Public License.

Creative Commons Attribution 3.0 All GNU social JP content and data are available under the Creative Commons Attribution 3.0 license.