SSHとは何ですか？

Secure Shell（SSH）は、クライアントとリモートホスト間のセッションを認証・暗号化する暗号化ネットワークプロトコルであり、Telnet や rlogin といったセキュリティ上の問題があるプロトコルに代わるものです。管理者は、インターネットなどの信頼できないネットワーク上で、コマンドラインへのアクセス、リモートコマンドの実行、および鍵ベースのパスワード不要なファイル転送を行うために SSH を利用します。

主なポイント

• SSHは、リモートでのコマンドラインおよびファイル転送セッションの暗号化と認証を行います。
• 公開鍵認証はパスワードよりも安全性が高く、自動化を可能にします。
• SSH-2は、セキュリティ上の問題があり、非推奨となっていたSSH-1プロトコルに取って代わりました。
• SSHのセキュリティ強化とは、脆弱な暗号アルゴリズム、ポート、およびデフォルトのアカウントを無効にすることです。
• Versa DirectorおよびVOSデバイスは、管理用CLIへのアクセスにSSHを使用します。

このページの内容： その重要性 ・ 仕組み ・ 種類 · SSH およびVersa · よくある質問

SSHはなぜ重要なのでしょうか？

SSHが登場する前は、管理者はTelnet、rlogin、rshといったプロトコルを使ってリモートシステムにアクセスしていました。これらのプロトコルでは、ユーザー名、パスワード、そしてすべてのキー入力が平文で送信されていました。ネットワーク経路を監視する者なら誰でも、認証情報を盗み出したり、セッションを乗っ取ったりすることが可能でした。SSHは、セッション全体を暗号化し、サーバーとクライアント双方の身元を確認することで、これら3つのプロトコルに取って代わりました。そのため、SSHはサーバー、ネットワーク機器、クラウドインスタンスを管理するための標準的な方法となったのです。

リモート管理では常に信頼できないネットワークを経由するため、その重要性は依然として高い。また、SSHの公開鍵認証により、日常的な操作からパスワードが排除され、スクリプトによるログインや構成管理ツールが、人間が認証情報を入力することなく認証を行えるようになった。ほぼすべてのネットワークオペレーティングシステム、Linuxディストリビューション、クラウドプラットフォームにはSSHサーバーまたはクライアントが標準で搭載されているため、SSHのセキュリティ対策（鍵管理、暗号アルゴリズムの選択、アクセス制限）は、あらゆるセキュリティ強化の基準において中核をなす要素となっている。

SSHとは何ですか？

SSHは、相互に連携する3つの層で構成されています。トランスポート層プロトコルは、暗号化された通信チャネルを確立します。具体的には、クライアントとサーバーが暗号スイートをネゴシエートし、クライアントが真正なサーバーと通信していることを確認できるようホストキーを交換し、セッションキーを導出します。 続いて、ユーザー認証プロトコルが、パスワード、公開鍵/秘密鍵ペア、あるいはキーボード対話型認証やホストベース認証などの方法を用いて、クライアントの身元を検証します。認証が完了すると、接続プロトコルが暗号化された通信チャネルを、対話型シェル、単一のリモートコマンド、転送されたTCPポート、またはファイル転送サブシステムといった論理ストリームに多重化します。

公開鍵認証が推奨されます。ユーザーは鍵ペアを生成し、公開鍵をサーバーに配置し、秘密鍵は秘密に保持します。サーバーはクライアントに対し、対応する秘密鍵を所有していることを証明するよう要求するため、ネットワーク上をパスワードが流れることはありません。この同じ仕組みは、SFTPやSCPによるファイル転送の基盤となっており、これらは独立したプロトコルとしてではなく、SSHセッション内のサブシステムとして動作します。

SSHの種類

このプロトコルには2つのバージョンが存在します。SSH-1には既知の暗号上の脆弱性があり、現在では廃止されたものと見なされています。事実上、すべての最新環境では、再設計され、より安全になったプロトコルであるSSH-2が使用されており、これはOpenSSHを含む現在のすべての実装の基盤となっています。

SSH-2 では、いくつかの認証方式が共存しています。具体的には、パスワード認証（最も単純ですが、自動攻撃に対しては最も脆弱です）、公開鍵認証（推奨されるデフォルト設定）、キーボード対話型認証（ワンタイムパスコードなどのチャレンジ・レスポンス方式）、およびホストベース認証（ユーザーではなくクライアントマシンを信頼する方式）です。 また、接続プロトコル層では、対話型シェルセッション、単発のリモートコマンド実行、TCPポートフォワーディング（暗号化されたセッションを介して他のトラフィックをトンネリングする）、およびファイル転送用のSFTP/SCPサブシステムといった、異なるチャネルタイプも定義されています。 暗号、MAC、および鍵交換アルゴリズムの選択（AES-GCM 暗号、SHA-2 ベースの MAC、curve25519 鍵交換）によって、特定のセッションの暗号強度が決定されます。

SSH &Versa

SSHは、Versa DirectorおよびVOSデバイスへの主要な管理用アクセス経路であり、Versa Networks では、これをセキュリティ強化の対象として扱っています。デバイスにはデフォルトで admin SSHユーザー；その SSHのデフォルトユーザー この機能により、オペレーターは独自のSSH公開鍵を持つ別のデフォルトユーザーを指定することができ、その後、管理者ログインは無効化されます。

ブランチ、コントローラ、ハブの手動によるセキュリティ強化 そして Versa Directorの手動ハードニング どちらもSSHに関するセクションを設けており、デフォルトのポートを22から変更すること、必要のない場所ではSSHデーモンを無効にすること、そして設定を行うことなどが記載されています。 Ciphers, MACs、および KexAlgorithms in sshd_config 最新の標準的なアルゴリズムに対応しています。VOSの後のリリースでは、SSH、REST、NETCONFを特定のIPアドレスに制限するためのaccess-listコマンドがサポートされており、DirectorのUIでは、SSHセッションの制御機能（クライアント生存間隔、最大同時ログイン数、ログイン猶予時間）が利用可能です。

よくある質問

SSH-1とSSH-2の違いは何ですか？

SSH-1には、設計上および暗号上の脆弱性が確認されており、すでに時代遅れとなっています。SSH-2は、より強力なアルゴリズム、より優れた整合性チェック、および複数の認証方式や通信チャネルタイプへの対応を備えた、一から再設計されたプロトコルです。OpenSSHを含む現在のすべてのSSH実装では、SSH-2のみが使用されています。

SSHの公開鍵認証とは何ですか？

ユーザーは公開鍵と秘密鍵のペアを生成し、公開鍵をサーバーに配置し、秘密鍵は秘密に保管します。サーバーは、対応する秘密鍵でしか回答できない暗号的なチャレンジを発行するため、パスワードがネットワーク上を一切通過することなく認証が行われ、さらにこのプロセスは自動化することも可能です。

SSHポートフォワーディングとは何ですか？

ポートフォワーディング（またはトンネリング）とは、別のアプリケーションからのトラフィックを、すでに確立されている暗号化されたSSHセッションを経由して転送する仕組みです。ローカルフォワーディングは、クライアントマシン上のリモートサービスを公開するものであり、リモートフォワーディングはその逆の動作を行います。これは、通常はネットワーク経由でアクセスできないサービスに接続するために一般的に利用されます。

SFTPとは何ですか？また、SSHとはどのような関係にあるのでしょうか？

SFTP（SSHファイル転送プロトコル）は、認証済みのSSHセッション内で動作するサブシステムであり、対話型シェルと同様の暗号化および鍵ベースの認証機能を備えています。これは、安全なファイル転送のために、FTPなどの従来の平文転送プロトコルに取って代わりました。

セキュリティ強化のために、SSHのどの暗号アルゴリズムを設定すべきでしょうか？

ハードニングに関する指針は、以下の分野において現代的な価値観を定めています。 sshd_configの「Ciphers」、「MACs」、「KexAlgorithms」フィールド（例えば、AES-GCM暗号、SHA-2ベースのHMAC、curve25519による鍵交換など）を指定し、セキュリティレベルの低いクライアントがネゴシエーションの結果、これらより脆弱なアルゴリズムに妥協してしまう可能性を排除します。

SSHに関する詳細

さらに詳しく知りたい場合は、私たちが信頼している情報源を以下にご紹介します。

関連用語

SSHについて調べているなら、次はこれらもぜひチェックしてみてください。