セキュリティこの広告は、90日以上更新していないブログに表示しています。06お世話になった本この連載ブログを書くにあたり、お世話になった本がこちら。LPICと被っているところもありますが、実務での使い方なんかも扱っており、良書だと思います。おけるセキュリティユーザの権限の分離がキーワード。getfacl、setfacl等のマニュアル参照。通常一般ユーザでログインする。リモートログインする場合、ルートユーザでのログインが禁止されている運用がほとんど。ログインしてからルートユーザに切り替える。コマンドは、suコマンド。ルートユーザの権限でコマンドを実行したいときは、sudoでを使う。任意のユーザ権限でシェルを実行するコマンド。引数が省略された場合は、ルート権限でルートのシェルを実行。引数に-を与えると、元ユーザの環境(環境変数やカレントディレクトリなど)を引き継がない。コマンド個人的な見解としては、こちらをよく使う。一般ユーザでログインしておきコマンドを実行するときに必要に応じて、コマンドの前にsudoコマンドを書いてあげる。su権限でコマンドを実行することが出来る。設定はsudoersファイルに記述されている。visudoコマンドで編集できる。visudoコマンドは排他制御される。いじるよりこのコマンドを使うほうが良さそう。name>でコマンドを実行するユーザを指定できる。root@pc:~#共通鍵暗号と公開鍵暗号データ本体のセキュリティについて。大きく分けて、共通鍵暗号方式と公開鍵暗号方式がある。共通鍵暗号は、暗号化と復号化が同じ鍵(共通鍵)を使う。一般的なパスワードの暗号化はこの方式を使う。アルゴリズムは、DES、3DES、AESなど。インターネットを経由する通信では、共通鍵をどのように一致させるか問題がある。このため、公開鍵暗号方式が生まれた。アルゴリズムはRSAなどがある。ユーザ一人につき「公開鍵」と「秘密鍵」のペアを持つ。公開鍵は文字通り、インターネットに公開される。秘密鍵はバレちゃダメ。「秘密鍵」で暗号化されたファイルは、「公開鍵」で復号化出来る。「公開鍵」で暗号化されたファイルは、「秘密鍵」で復号化出来る。これにより、共通で同じ鍵を持つ必要がなくなる。Aさんが、Bさんに暗号化されたファイルを送りたければ、Bさんの「公開鍵」を使って暗号化し、Bさんに送信する。Bさんは、自分の「秘密鍵」で復号化したら良いわけだ。これで、ファイルの完全性が証明される。Aさんが送ったことを保証したければ、Bさんの「公開鍵」で暗号化したものを、更にAさんの「秘密鍵」で暗号化する。Bさんは、Aさんの「公開鍵」で復号化し、Bさんの「秘密鍵」で復号化する。これで、Aさんから送られたことを保証できる。これを電子署名という。公開鍵を作成するとき、パスフレーズと呼ばれる文字列を使う通信時の認証に用いる公開鍵暗号方式dsaecdsarsa接続先サーバで利用可能な方式を選ぶこと公開鍵と秘密鍵のペアを作成する方法コマンド、ssh-keygenを用いる。コマンドを実行すると、ホームディレクトリ配下に、.sshディレクトリができているはず。その配下に、id_rsaとid_rsa.pubファイルが出来上がる。他人に盗まれちゃダメ。他人に盗まれたら、削除して新しい鍵を作ろうid_rsa.pub公開鍵おそらく、pubはpublicの前3文字だと思う。公開鍵を接続先サーバの管理者に渡して、追加してもらえばOK。手元で仮想マシンなどで試す場合は、以下の通りauthorized_keysファイルを作りその中にid_rsa.pubファイルの中身をコピーする。ユーザのホームディレクトリに行きます。.ssh/authorized_keys他にも、id_rsa.pubの中身を開いてマウスで選択してコピーして、.ssh/authorized_keysに貼り付けでもいいんですけどね。ssh-agentあまりつかったこと無い。(なぜなら、基本的にパスフレーズを0文字にしているからな!)毎回長いパスフレーズを入力するのが煩わしい時にこれを使う。最初に一度だけパスフレーズを入力すると、sshコマンド実行時のパスフレーズ入力を省略できる。ssh-addssh-agentを起動。すると、環境情報が出力される。evalで環境変数化。シェルの種類は、ssh-agentにより自動判別。ssh-addコマンドを実行する。パスフレーズが求められ、入力して登録完了。シェルをexitするまでパスフレーズの入力が必要なくなる。デスクトップでは、ssh-agentが最初から起動している。ssh-addするだけでよい。scpSSHによる通信経路を使い、ファイルをコピーできる。オプションでディレクトリごとコピーできる。詳細は、manを見てね。ssh_configでマニュアルを確認できる。~/.ssh/configファイルを作成し、各種設定ができる。Host別名を付けれる。よるポート転送ポートフォワーディングの話。(セキュリティとは少し離れる)SSHで暗号化された通信路に、別の接続をのせることができる。これをSSHポートフォワーディングまたは、SSHトンネルなどと呼ぶ。