本日テーマ

遠隔アクセス/ネットワークセキュリティの基礎

事前準備内容

• 実技編準備
  • 早く終わった人向けの付録を作る !??
  • 実習内容を若干増やした.
  • 必要なパッケージの確認
  • ssh サーバは実習のはじめにインストール
  • inetd はオミット
  • 無ければ受講生自身に入れてもらう
  • 講義資料でのセキュリティ情報が最新か確認
  • 次回 (07/22) のページ作成

本日の予定

反省事項

授業終了後反省内容, 実際の時間配分等を書き込むこと

• 2011 年度
  • タイムスケジュール
    • 13:00 -- 13:10 レポート講評
    • 13:10 -- 14:13 講義編
    • 14:25 -- 15:20 実技編
    • 15:30 -- 打ち合わせ
  • 講義編
    • [質問] 遠隔ログインした後コマンドを実行するのは, 遠隔コマンド実行したことになるか?
      • 遠隔ログインしてコマンド実行するのと, 遠隔コマンド実行は auth.log 上では同じ履歴が残ることにはなる.
    • [補足] 遠隔コマンド実行もパスワード入力を求められる.
    • [補足] 今いるホストに遠隔ログインする場合 (例: joho15 -> joho15)もパスワード入力を求められる.
    • [補足] パケット盗聴で最も困るのは パスワード, 個人情報が見られてしまうこと.
    • [質問] Telnet は最も古い相互通信用プロトコルと言い切って良いか? (多分良いような気がするが...)
    • [補足] 基本的に log は root でなければ閲覧することは出来ない.
  • 実技編
    • 本日の二冊を紹介するのを忘れていた. ssh などに関する書籍を紹介するのも良いかも.
    • 同じテーブルではない受講生同士でペアを作って作業するのはちょっと 大変だった. 情報実験機を移動して作業すると良いかも. 今後, 共同作業が必要な回は工夫しましょう.
    • 情報基盤センターの公開鍵を取得済みの人がログインできなかった. 公開鍵を消すとログインできる人もいたし, 消してもうまくいかない人もいた.
    • apt の sources.list に dennou-h に対する記述を加えたときに warning が出るところもあれば, 出ないところもあった.
  
  
• 2010 年度
  • タイムスケジュール
    • 13:00 -- 13:07 レポート講評
    • 13:07 -- 13:47 講義編
    • 13:55 -- 15:15 実技編
    • 15:15 -- 15:20 本日の二冊・連絡事項
    • 15:30 -- 打ち合わせ
  • 講義編
    • [page10]:遠隔ログインをする際は，ローカルホストとリモートホストの両方に自分のアカウントを持っていることと,リモート側に sshd が走っている必要がある.
    • [page18]: anonymous ftp は使用されているのか？
      • Debian のインストール時には使用されているみたい。
      • ブラウザからダウンロードする場合もある
    • [page21]:Mac の場合もターミナルと呼ぶ.
    • [page26]:http"s" や鍵マークも SSL 機能が付いていなくてもつけることができるらしい．Firefox の場合の確認方法はページ上で右クリックしてページ情報,セキュリティタグから確認できる(ブラウザによって方法は異なる)
    • [page29]: メモリに常駐とはそのプログラムが常に動いているということ．
    • [page33]:セキュリティホールとはセキュリティに危険を生じるようなソフトウェア上の不具合のこと.例えば Linux においては, 不必要なポートが開いているためにそこから情報が漏えいしてしまう場合がある.もしくはアカウントが不正に取られてしまう．
    • [page34]: ソフトウェアは, こまめに更新・最新版にするように．またライセンス期限があるので,切れた場合には最新版にするように.
    • [page34]: 誤字 anounce -> announce
    • ネットワークサービスとは何かをもう一度説明したうえで, デーモンを教えるといい.
  • 実技編
    • 「ident 以外をコメントアウト」:ident 自体がないので無視.来年以降は見るだけにするように書き換える
    • inetd.conf が入っていない: openbsd-inetd をインストール(2009年度裏方参照)
    • ssh -x (小文字のx) だと X を飛ばせなくなる.
    • 来年度は denyhosts を使った実習を追加する
  
  
• 2009 年度
  • タイムスケジュール
    • 13:01 -- 13:05 レポート講評
    • 13:06 -- 14:02 講義編
    • 14:10 -- 15:37 実技編
    • 15:51 -- : 打ち合わせ
  • 講義編
    • サービスとは何か?
      • サーバに関していえばクライアントの要求に答えること
    • 手元の計算機以外で計算したことがある学生は結構いる?
    • 踏台にされるとは?
      • 自分のマシンが悪用されること
    • ポートを操作するのとデーモンを停止するのは別なこと
    • デーモンが行うのはどの範囲までか?
      • サービスの提供まではデーモンの仕事
    • hosts.allow と hosts.deny の両方に記述したらどうなる?
      • hosts.deny が優先され、hosts.allow に記述されたもののみ許可される
  • 実技編
    • 資料の inetd.conf が昔のままだった (コメントアウトするものが、そもそも記載されていなかった)
      • lenny では、telnet サーバ側のが入っていないので正しい
    • joho05 に inetd.conf がなかった
      • openbsd-inetd をインストールし対処
    • joho14 の IP アドレスの設定を間違っていた
      • IP アドレスを正しく設定
    • joho 17 から joho16 へ X を飛ばせない
      • 原因究明中、ログ確認
  
  
• 2008 年度
  • タイムスケジュール
    • 13:02 -- 13:48 講義編
    • 14:00 -- 15:29 実技編
    • 15:40 -- : 打ち合わせ
  • 講義編
    • slogin コマンドはログイン先を記述する必要がある.
    • ssh は単純に telnet に暗号化が加わっただけではない.
      • telnet でファイル転送することは出来ない.
      • ssh で暗号化した経路の中で別のプログラムを走らせることも可能.
    • Windows の場合, 自動で定期的に update するべきものを 調べてくれる.
      • 「update しますか?」と聞かれた際, update は面倒である としてさぼると危険なマシンになるので注意.
      • 「再起動が必要です」と言われて面倒であるとしてさぼると やはり危険なマシンになるので注意.
    • Windows は世界で最も普及しているので, 最も攻撃対象となりやすい. もっとも他が安全というわけではないが.
    • ポート番号の割り当てはかなり中途半端な数で行われているが, 何か意味はあるのだろうか?何か歴史的事情がある?2進数的には 実は切れ目が良い?来年度の人頑張れ!
    • https の事例については, その場で web ブラウザで実演するか, 資料に画像を張り込むと良いかもしれない.
    • SSL 証明書の有無を確認すると, フィッシング詐欺にはまる可能性が 小さくなるだろう.
    • セキュリティーメールや JPCERT のサイトの画像を載せるとイメージ が湧くようになるかもしれない.
  • 実技編
    • 準備作業の追加
      • sshd_config ファイルが真っ白である. 問題解決の為には, sudo aptitude install ssh を実行(既に root になっている人は aptitude install ssh を実行).
    • inetd.conf で telnet, ftp をコメントアウトするという記述が資 料にあるが, もともと記述が無かったり, 最初からコメントアウト されていたりしたようだ. VTA の人がコメントアウトについては適宜 指示してもらえると万々歳.
    • 今回 aptitude upgrade コマンドを実行して保留となってしまう パッケージを更新したい場合には aptitude dist-upgrade コマンド を実行すればうまくいく. 但し更新すべきか否かは事前に確認するべきである.
    • aptitude コマンド実行時にエラーがある場合, VTA の人はスルーさ せないようにすべし. ワケワカラン場合には TA や先生に訊きまし ょう.
    • 実習編資料は基本的には不親切に作っておきましょう.
  
  
• 2007 年度
  • タイムスケジュール
    • 14:45 -- 14:47 レポート講評
    • 14:47 -- 15:40 講義編
    • 15:50 -- 17:55 実技編
    • 17:55 -- 18:00 closing
  • 講義編
    • 遠隔アクセスの意義・具体例を追加すべき. [例] : 研究資料のバックアップ, 外部のより高性能なパソコンで計算 etc
    • 遠隔ログイン・遠隔コマンド実行の概念図をさすがにそろそろ更新した方が良いかもしれない(修正は2008年度に). /etc/passwd を見に行くという事例は教育上宜しくないということも一つにはある.
    • A という人が ssh のコマンドを実行した場合には 「A login :」とログイン名は聞かれず, 「A@xxx's password」といきなりリモート先の計算機のパスワードを聞かれる (slogin の場合には先ずログイン名を聞かれる)
    • 12枚目のスライドの「パスワードは保護されている?」の問いは止めて, 何も対策を講じないとパスワードは保護されないと書く.
    • 12枚目のスライドの絵も新たに作成した方が良いだろう. ログインはリモートアクセスされる側のマシンの仕事ではない. 正しくはアクセスの許可または不許可.
    • ポートとポート番号を復習するスライドを 1 枚追加する.
    • TeraTerm, Putty, WinSCP で使っている通信規約は ssh, FFFTP で使っている通信規約は ftp.
    • 不正なアクセスの具体的内容 : (1) password を破って不正にログイン (2) 外からアクセスし続けて計算機を使えなくする (3) DoS 攻撃, 踏み台, フィッシング詐欺などにその計算機を悪用されてしまう
    • デーモンの働きの例えを加えておくと良い. [例]:「部屋の中にいて荷物を受け取ってくれる人」
    • ftp のポート番号 : データ転送に使うのが 20 番, 制御に使うのが 21 番.
    • inetd で呼び出されるのもデーモンさんなのか (常駐しているものがデーモンの定義)? デーモンの定義はもう一度確認する必要がありそう.
    • inetd はポートの前にいて, パケットが来ると休んでいるデーモンさんを起こしてくれる.
    • 「デーモンを停止する＝ポートを閉める」は厳密ではないと思われる. 不必要なネットワークサービスを停止する方法には, デーモンを停止する方法とポートを閉める方法の二つがあるというのが正しい.
    • hosts.allow と hosts.deny の具体例を書いておくと良いだろう.
    • hosts.allow と hosts.deny の両方に ALL : と書いておくと, deny の方が優先される.
    • ファイアウォールソフトとは, ネットワークの出入り口で見張ってデータの出入りを制限するソフトのこと. 最近のウィルス対策ソフトにはファイアウォール機能がついている.
    • Mac ユーザの場合, アップル社から提供されるセキュリティー機能を入手したり, 市販のソフトを導入することによりセキュリティー対策を行うことが出来る.
  • 実技編
    • ftp のダウンロード元サイトを ftp.ep.sci.hokudai.ac.jp から別のサイト(dennou-h または debian-jp )にする.
  
  
• 2006 年度
  • タイムスケジュール
    • 13:00 -- 13:15 レポート講評
    • 13:15 -- 13:50 講義編
    • 14:00 -- 15:10 実技編
    • 15:10 -- 15:15 closing
  • 機種依存文字は化けているものを見せてやるとよい.
  • [座学] ftp を紹介する際, anonymous と OTP のキーワードに軽く触れると 良い(おまけ).
  • [実技] 大型計算機センター/情報メディアほげほげ : 情報基盤センターとなりました ので古い人は注意.
  • [実技] ファイルの編集はエディタを使ってもよいというコメントをテ キストの最初に付記しておくといいかも.
  • [実技] テキスト内の "_" が全体下線に重なって見えない (css の問題).

• 2005 年度
  • タイムスケジュール
    • 13:00 -- 13:05 レポート講評
    • 13:05 -- 13:35 講義編
    • 13:50 -- 15:10 実技編
    • 15:10 -- 15:15 closing
  • [座学] ftp を紹介する際, annouymous と OTP のキーワードに触れると 良い .
  • [座学] windows における遠隔ログイン方法の紹介(FFFTP, Putty).
  • レポート講評では, きちんと表示するレポートを決めて講評する こと.
  • 来年度は, パワーポイントファイルを新たにした方が良い. (書 式が美しくないので)
  • [実技] 休憩中の作業は休憩中の作業じゃなくてよい. (本文に 入れる)
  • [実技] 大型計算機センター/情報メディアほげほげ : 情報基盤センターとなりました ので古い人は注意.

• 2004 年度
  • 本筋とわき道をしっかり区別してしゃべる
  • S 系のコマンドを使わせることに重点を置く
  • ポートの存在とを閉める必要性を認識させる
  • 暇な人向けの付録テキストを付けておく
  • 時間配分 … レクチャー: 13:15 - 13:55 , 実習: 14:15 - 15:30
  • 実技編での割り込みをなるべくしない

• 時間配分 … レクチャー: 13:10 - 13:45 , 実習: 14:00 - 15:30
• 講義編の反省 (教育演習の実習生さんの講義)
  • 時間配分は良かった (事前の練習よりずっと良くなった!)
  • デーモンの説明を例え話を入れながら分かりやすく説明できると良かった
  • scp, ftp の使い勝手の違いをうまく補足する. 今回は scp, ftp の実演をしたが, 下手に実演すると自分が今どこにいてどこに転送をするかが混乱. ftp の場合はサーバ内で put, get を使うが誰が誰に対して行う操作かを明確に. scp にしても同様.
• 実技編の反省
  • 実技の説明は, 実習をはじめる前に全部説明してしまった方がよい.
  • 同じテーブルの情報実験機で host.deny, host.allow の設定の進み具合に差がある時は, local の host.* を設定した後に remote から local に入り直そうとすると良い.
  • 実技以前の所ではまったケースが多かった. ex.) ssh をインストールしてない! apt で指定したサーバーが落ちていた!, パスワード忘れた…など.

テキストなど

■ 書籍

■ 本日の二冊 ■
	山口和紀 他 著 : 新 The UNIX Super Text (上) , 技術評論社 ISBN 4-7741-1682-3		山口和紀 他 著 : 新 The UNIX Super Text (下) , 技術評論社 ISBN 4-7741-1683-1

■ 講義資料

■ 実技資料

参考資料

• CERT/CC
• JPCERT/CC
• Debian 本家
• Debian JP Project
• 日本の Linux 情報
• Debian 便利ワザ集
• SSHとOTP (epnetfan座学レジュメ)