- ベストアンサー
SFTPの鍵自動更新について
- SFTPの鍵の意義とは？アカウントとパスワードだけで接続できるのに必要なのか
- SFTPサーバーの鍵は定期的に自動で刷新されるのか？参考URLや検索キーワードを教えてほしい
- SFTPソフトが改ざんの可能性に言及しており、焦っている。rootアカウントの閉じ方についても相談
- みんなの回答 （1）
- 専門家の回答
質問者が選んだベストアンサー
>（１） この「鍵」の意義はなんでしょうか？あってもなくてもアカウントとパスだけで接続できてしまいますし・・・。 通信路を暗号化する為の鍵…でしょうかね。 ユーザ認証の鍵とは別です。 # ホスト鍵とか言われます。 http://osksn2.hep.sci.osaka-u.ac.jp/~naga/miscellaneous/winssh/winssha-2.html の「（ａ） 暗号化方式」に書かれていますな。 他にもそういう情報は見つかるでしょうけど……。 暗号化に使う共通鍵の受け渡しの際に、ホスト自身の公開鍵(初回接続時に受け取る)と秘密鍵を使用した公開鍵暗号を行う。 その時の公開鍵ですね。 # 共通鍵は接続毎とかに変わる…かと。SSL通信もそんな感じだったハズです。 >（２） そこでお聞きしたいのは、鍵が定期的に自動で刷新されることはあるのだろうか？ 普通はありません。 最初に作成されたサーバの秘密鍵の情報が漏れた…とかいう場合に、無効にして作り直すことはあるでしょう。 # あとは…OS入れ直した時とかに以前の鍵を保存し忘れていたりすると新規作成されますね。 それ以外だと……DNSのデータとか汚染されて別の接続先に接続してしまった。なんて場合に「鍵が違うよ？」と言われます。 正しい接続先かどうかは初めて接続する時に表示されるfingerprintで確認することになります。 たとえば…SourceForge.jpでSVN+SSHする場合は… http://sourceforge.jp/docs/Subversion%E3%81%AE%E4%BD%BF%E3%81%84%E6%96%B9#h3-ssh.20.E7.B5.8C.E7.94.B1.E3.81.AE.E5.A0.B4.E5.90.88 にfingerprintが明記されています。 SVN+SSHでリポジトリに初めて接続しようとした時に、このfingerprintが表示されるハズです。 >rootアカウントを閉じて別アカウントで公開鍵と秘密鍵を作った場合は、自動的な更新はないとのことです。 ホスト鍵が勝手に変わる。なんて事はありません。 sshのパスワード認証でrootアカウント有効にしているのでしたら、サクっと乗っ取られた上にsshサーバとか入れ替えられた。という可能性は否定しきれませんね。 それなら「知らないウチに鍵が変わった」ということがあっても不思議はないでしょう。 # まぁ、乗っ取った側が他の利用者にばれるようなマネするとも思えませんが。 # 業者が乗っ取りに気づいて、OSのクリーンインストール＆データ復旧を行った際にホスト鍵が更新された。ということならあるかも知れませんね。 opensshなら… /etc/sshにssh_host_dsa_key、ssh_host_key、ssh_host_rsa_keyだのが置かれています。 対応する公開鍵も一緒に置かれてますね。 # 実際に鍵ファイルが置かれている場所は…ディストリビューション依存するかも知れませんが。
お礼
ありがとうございます。 公開鍵に秘密鍵、共通鍵、ホスト鍵、サーバ認証、ユーザ認証、ホスト認証・・・ 似たような言葉の列挙でこんがらがってきますね。 頂いたURLで 「しかし、２回目以降の通信は登録されているホストに繋がるはずですから、もし警告が出たら要注意です。」 とありますが、まさにこの状態でした。 >sshのパスワード認証でrootアカウント有効にしているのでしたら、サクっと乗っ取られた上にsshサーバとか入れ替えられた。という可能性は否定しきれませんね。 う～ん。非常にまずいですね。 業者の変更を上司と相談します。 ありがとうございました。