[B! security][ssh] sora_hのブックマーク

偶然にも500万個のSSH公開鍵を手に入れた俺たちは - slideshare

Node.js Native ESM への道〜最終章: Babel / TypeScript Modules との闘い〜

sora_h 2015/01/26

リンク

OpenSSHによる二段階認証について - WebPay Engineering Blog

皆さん、こんにちはsowawaです。このEngineering Blogはライブラリのリリースや機能追加の各種お知らせが中心ですが、今日は趣向を変えてOpenSSHによる二段階認証の導入方法について解説します。 PCI DSSという我々の準拠しているセキュリティ基準では、クレジットカード情報の取り扱いに関わるサーバ群へのリモートアクセスに二段階認証の組み込みを要求しているため、WebPayのプロダクション環境を始めとするサーバ群でも認証サーバで二段階認証を実施しています。 OpenSSHで二段階認証を実装する肝となるのは、OpenSSH6.2以降で追加されたMultifactorAuthenticationのためのAuthenticationMethodsというディレクティブです。参考: http://lwn.net/Articles/544640/ それではさっそく二段階認証を導入し

sora_h 2014/09/13

リンク

OpenSSHによる二段階認証についてワンタイムパスワード編 - WebPay Engineering Blog

こんにちは、sowawaです。 OpenSSHによる二段階認証についての続編記事です。ワンタイムパスワード（One Time Password: よくOTPと略されます）とは、一回限りの使い捨てのパスワードのことです。認証するサーバ等との間で事前に共有が必要な情報は、アルゴリズムにより様々ですが時間やカウンターをベースにしたものがよく利用されています。最近では、様々なサービスで同じメールアドレスとパスワードの組み合わせで使い回されたことによって、ひとつのサービスから流出したパスワードとメールアドレスを他のサービスに対する不正アクセスに頻繁に利用された結果、重要な情報を扱う様々なサービスではOTPを利用したニ段階認証が導入されるようになりました。多くの人がアカウントを持っているGoogleでは、Google Authenticatorと呼ばれるモバイル端末等で動作するOTP生成ア

sora_h 2014/09/13

リンク

sshによるユーザ列挙攻撃"osueta" - ろば電子が詰まつてゐる

ものすごく遅いレポートですが、先日、ゆるふわ勉強会ことさしみjp ささみjpの#ssmjp 2014/06 に参加させて頂きました。この中で、@togakushiさんの発表「OpenSSH User EnumerationTime-Based Attack と Python-paramiko」が面白かったのでそのメモです。 osuetaとは何か OpenSSHでは、パスワード認証の際に長い文字列(目安で数万文字)を与えると、存在するユーザと存在しないユーザの場合で応答速度が変わってきます。環境によりこの時間差は結構違うようですが、私の試した範囲では、存在するユーザの場合は数十秒存在しないユーザの場合は数秒で応答が返りました(この応答速度は目安です、もちろんマシンスペックによって違うでしょう)。これにより、複数のユーザでsshログイン試行をおこない、その応答時間を計測することでユー

sora_h 2014/06/24

ssh
security

リンク

new openssh key format and bcrypt pbkdf

There’s a new private key format for OpenSSH, thanks to markus and djm. It’s enabled automatically for keys using ed25519 signatures, or also for other algorithms by specifying -o to ssh-keygen. The new format allows for new functionality, the most notable of which may be the addition of support for better key derivation functions (KDF). (Also known as a PBKDF, as in password based.) Old encrypted