OpenSSHに関するあれこれ

• OpenSSH <--> SSH2 で agent 転送が効かない
  
  OpenSSH と SSH2(SSH Secure Shell Version 2 以降のもの) との間では、(Protocol 1 では可能であるのに) agent 転送が効ません。何とかならないんだろうか？
  というわけで、むりやり agent 転送を行わせる patch を作ってみました。
  
  draft-ietf-secsh-agent-02.txt(Internet Draft)対応版
  Internet Draft に書いてある部分だけなので LICENSE には問題ないはず。
  • openssh-4.7p1-fwd_agent-base-0.81.patch.bz2
    agent 転送のための socket を作らせるだけの patch
    転送を受ける ssh と ssh-agent が OpenSSH 同士、または SSH2 同士なら agent 転送が有効になります。
    経路中で転送が効いていないように見えても、agent 転送用の socket ができていれば問題ありません。 (SSH_AUTH_SOCK、SSH2_AUTH_SOCK が設定されてれば良い。)
    
    
  • openssh-4.7p1-fwd_agent-agent-0.81.patch.bz2
    SSH2 へ agent 転送が出来るようにする patch(必要な所のみ)。
    openssh-4.7p1-fwd_agent-base-0.81.patch.bz2をあててから適用して下さい。
    現時点の ssh-add2 はInternet Draft 準拠でないため鍵追加ができません。
    (ssh-add では可能です。)
    こっちは現状の SSH2 に対応するため、最小限の追加があります。
    (ssh-agent.c にある "hash-and-sign[pkcs1,sha1]" に対応するPrivate Key の操作の部分。
    ただし、Internet Draft にある "hash-and-sign" と同一の操作。)
    
    
  • openssh-4.7p1-fwd_agent-client-0.81.patch.bz2
    ssh-agent2 から OpenSSH へ agent 転送が効くようにする patch
    openssh-4.7p1-fwd_agent-base-0.81.patch.bz2をあててから適用して下さい。
    これも ssh-agent2 がInternet Draft 準拠でないため、 ssh-add で鍵追加はできません(ssh-add2 では可能)。
    openssh-4.7p1-fwd_agent-agent-0.81.patch.bz2を同時に適用可能です。
    
    
  • openssh-4.7p1-fwd_agent-testing-20070906.patch.bz2
    README.fwd_agent.patch.ja
    test 版
    この patch はこれだけで OK です。
    また、ssh-keygen での OpenSSH <--> SSH2 Private Key の変換において、SSH2 Private Key に passphrase がついていても扱えます。
    draft-ietf-secsh-agent-02.txt( Internet Draft) に対応(5 Oct 2006 現在、Draft から消えている様ですが)。 draft-ietf-secsh-agent-02.txt 仕様の鍵の追加は test 出来てないので動くかどうか不明。
    draft-ietf-secsh-agent-02.txt が出たので、SSH2 を解析したための問題はなくなるかもしれない。
    しかし、ssh.com の ssh-3.2.9.1 は draft-ietf-secsh-agent-02.txt と鍵の追加の仕様が異なっている。 互換性のためには、まだ解析結果は必要かもしれない。
    最新の ssh-keygen2 で作った秘密鍵にも対応。
    

    bad magic 0x3082**** != 0x3f6ff9eb
    decode blob failed.

    とかでたら使ってみて下さい。
    openssh-4.4p1-fwd_agent-testing-20061026 以前とは互換性が高くないので注意。
  
  
  古い版
  • openssh-3.7.1p2-fwd_agent-client-0.75.patch.bz2
    OpenSSH から SSH2 へ agent 転送を行わせる patch です。
    ただし、agent 転送のための socket を作らせるだけなので、 SSH2 client では agent 転送は使えません。 しかし、server は一般ユーザーではどうにもならなくても、OpenSSH の client を いれることは多分可能なので、OpenSSH の client を使えば agent 転送が有効になります。 この場合、設定される環境変数が SSH2_AUTH_SOCK なので、これと同じ値を SSH_AUTH_SOCK にも設定しましょう。
    また、この設定をすれば、ssh1 とかでも agent 転送が有効になります。
    
    
  • openssh-3.7.1p2-fwd_agent-server-0.75.patch.bz2
    こっちは逆に SSH2 から OpenSSH へ agent 転送を行わせる patch です。
    やっぱり agent 転送のための socket を作らせるだけなので、 OpenSSH client では agent 転送は使えませんが、agent 転送の元の ssh-agent が OpenSSH のものであれば使えます。
    実際には openssh-3.7.1p2-fwd_agent-agent-0.75.patch.bz2 を手元の client にあてて、ssh2 を用いている firewall の向こう側の server に使うことを意図しています。
    また、これはサーバー側の patch なので、root 権限が無いと意味がありません。 root 権限があるマシンで使いましょう。
    
    
  • openssh-3.7.1p2-fwd_agent-agent-0.75.patch.bz2
    SSH2 へ agent 転送が出来るようにする patch(不完全)。
    とはいえ agent 転送で最低限必要な部分は出来ています。 不完全な部分は SSH2 で拡張された部分(転送経路制御等)です。
    ただし、SSH2 の LICENSE に reverse engineer するな、とあり、 扱いに注意がいるかも知れない。
  
  
  • 注１：patch は上から順番にあてて下さい。
    
  • 注２： openssh-3.7.1p2-fwd_agent-client-0.75.patch.bz2 と openssh-3.7.1p2-fwd_agent-server-0.75.patch.bz2 をあてて、手元の ssh-agent と 転送される側の ssh client をそろえれば agent 転送が可能になるということです (途中で転送が切れていたら駄目です)。
    
  • 注３： openssh-3.7.1p2-fwd_agent-server-0.75.patch.bz2をあてると意図的に手元の ssh-agent が ssh-agent2(ssh2 のもの)であると、 agent 転送をそれ以上はしません。
    この動作がいやなら、client(ssh)自体は openssh-3.7.1p2-fwd_agent-server-0.75.patch.bz2をあてないでコンパイルしたものを使うか、 ssh2 の client のみをコンパイルして(設定される環境変数を考慮したうえで)使って下さい。
    
  • 注４：作者自身としては、ssh-agent は、patch をあてた OpenSSH のものを使うことを前提としています。
    (openssh-3.7.1p2-fwd_agent-agent-0.75.patch.bz2 をあてないまでも、 openssh-3.7.1p2-fwd_agent-client-0.75.patch.bz2は あてたもの、と言うことです。)
    
  • 注５：agent 転送の経路に ssh2 がある場合、agent に接続して agent への接続をすぐ切ると、
    
    warning: ssh2[5098]: number of forwarded channels still open, forked to background to wait for completion.
    
    等と warning をはかれて、ssh2 の接続ごと切れてしまうようです。
    ssh-add に Usage を表示させてしまった場合などになるようです。
  
  
  
• fingerprint を指定して agent から鍵を削除
  
  ssh-add に fingerprint を指定して agent から鍵を削除するオプションを付ける patch を作って見ました。
  openssh-4.7p1-ssh-add.patch.bz2
  元の ssh-add は、公開鍵ファイルがないと agent から鍵を削除できません。 公開鍵ファイルがなくても agent から鍵を削除できると便利かな、と思って patch を 作って見ました(役に立つ機会はそんなにないと思いますが)。
  例) ssh を使って login した先で鍵を追加して logout したが、 その鍵を削除したい時、等
  
  使い方は、ssh-add -r fingerprint です。
  
  
• OpenSSH --> SSH2 で scp 出来ない可能性
  
  remote 側が SSH2 Only しかインストールされていないと、
  

  % scp foo bar:
  scp: warning: Executing scp1 compatibility.
  scp: FATAL: Executing ssh1 in compatibility mode failed (Check that scp1 is in your PATH).
  lost connection
  

  とかなって、scp 出来ません。
  この場合でも SSH2 の側からなら scp 出来ます。
  素直に remote 側に scp1 を入れるか、sftp でも使うか、remote 側で scp 使うしかないようです。
  
  openssh-4.7p1-scp2-20070906.patch.bz2
  上記の問題に対処するために scp の file 転送で sftp の protocol で接続できるようにする patch を作って見ました。
  -L [!]host[,...] で '!' を付けない host には sftp 、'!' を付けた host には scp を使うように強制します。
  これは、環境変数 SCP_USE_SFTP_HOSTS に設定しておくこともできます。
  また、-s を付けると、sftp を使う方を default にします。
  sftp を使った場合、-l option の帯域制限は効かなくなります。
  不具合が残っているかもしれないので使用する際は注意して下さい。
  
  
• OpenSSH --> SSH2 Private Key converter
  
  OpenSSH の Private Key (秘密鍵) を SSH2 の Private Key に変換する option を ssh-keygen に 追加する patch
  openssh-4.7p1-keyconv_private-20070906.patch.bz2
  test 版 agent 転送 patch を作った際の副産物です。
  使い方は、ssh-keygen -z [-f keyfile] です。
  変換後の passphrase の設定されていない SSH2 Private Key が標準出力に書き出されます。
  
  Ralph Gessner 氏提供の OpenBSD 版 を Ver.4.7 に対応させたもの
  openssh-4.7-keyconv_private-20070906.patch.bz2
  
  passphrase 付きのまま変換したかったり、変換に失敗した場合は、上記の むりやり agent 転送を行わせる patch テスト版 に含まれる ssh-keygen を試して見て下さい。
  
  おまけ
  original の ssh-keygen で変換できない ssh2 用 Private Key ができてしまいました。
  id_rsa_1024_a
  
  
• sftp のコマンドラインに補完機能を追加する patch
  
  libedit を使って sftp のコマンドラインに補完機能を追加する patch(テスト中)
  openssh-4.7p1-sftp_completion-20070906.patch.bz2
  
  configure 実行時に --with-libedit に加え、 --with-libedit-sftp-completion を追加して下さい。
  sftp 用に .editrc で設定できる補完用 command に complete(tab)、possible-completions(M-?)、 delete-char-or-list-or-eof(^d)、delete-char-or-list、complete-local-filename(M-/)、 possible-local-filename-completions(^x /)、complete-remote-filename(M-\)、possible-remote-filename-completions(^x \) があります。()内の key をデフォルトで割り当ててあります。 (M-[3~ も em-delete-or-list に割り当ててありますが、内部で使っているので、これの変更は自己責任で。)
  
  
• ssh-agent 簡易 lock tool
  
  ssh-agent の lock を xlock と同期させるための簡易 tool
  ssh-agent-locker.tar.bz2
  
  
• subversion レポジトリ
  リポジトリのルート: http://svn.phys98.homeip.net/openssh/