本日テーマ

リモートアクセス/ネットワークセキュリティ

事前準備内容

• +1, +2 に TA アカウント作成 (統括役 : 三上)
• 講義資料でのセキュリティ情報が最新か確認 (村橋)
• 実技編準備
  • 必要なパッケージの確認(村橋)
• 本日の一冊準備 (村橋)
• ロガー(三上)
• 次回のページ作成(渡辺)

本日の予定

反省事項

授業終了後反省内容, 実際の時間配分等を書き込むこと

• 2016 年度(ロガー : 三上 )
  • タイムスケジュール
    • 13:00 -- 13:10 レポート講評(三上)
    • 13:10 -- 14:11 講義編
    • 14:11 -- 14:20 休憩
    • 14:20 -- 15:15 実技編
    • 15:15 -- 15:18 本日の一冊の紹介, 諸連絡
    • 15:18 -- 15:30 実技編(残り)
    • 15:35 -- 打ち合わせ
  • 講義編
    • 第四回(ネットワーク回)は誰が話したのか？ => 第四回で話をしたのは三上です.
    • Teletype とは何か? => Teletype 社が作ったターミナル. これを使ってネットワーク通信をテストする際に作られたプロトコルがtelnet
    • FTP 使ったことある人? => 2 人(HTML ファイルをサーバにアップロード)
    • HTML 文書を作成して公開したことある人? => 1 人
    • ポートの数は1-65535 番の65536 個(2^16 個)
    • 年金機構の話(2015 年5 月)は知っている人 => ほぼ全員知っている
    • HTTPS 通信は聞いたある人 => 全員知っている
    • Symantec Corporation 知っている人 => 知らない
    • Norton 知っている人 => 6 人
    • Amazon 利用したことがある人 => 9 割利用したことがある
    • 証明書を信頼できるかどうかはどのようにチェックするのか? => 鍵マークをクリック後, 詳細をチェックする.あとは本当に信頼に足るウェブサイトなのかは他の情報を用いて精査する. 信頼できないサイトでは無闇にパスワードやクレジットカードの番号などの重要な情報を入力しないようにする.
    • www.ep.sci.hokudai.ac.jp も証明書はちゃんと信頼できる認証局に発行されているので大丈夫です, ということをちゃんと言う
    • レポート投稿システムの証明書は信頼できるか？ => 信頼できます！！
    • 「Debian GNU/Linux におけるセキュリティホール対応」のインデントが少しおかしい？(修正済)
    • 第三者が眠っているデーモンを叩き起こすことができるのか？ => できる可能性がある.ポートデーモン自体にセキュリティホールがあればできるし, 開いているポートから侵入して他のポートを無理やり開けることも理論的には可能. なので不要なソフトウェアはインストールしない.またセキュリティは最新のバージョンにする.
  • 実技編
    • 3 ページ目 failure => refused(修正済)
    • 1 ページ目 SSH の設定の確認だけならvi を使わなくてもよい(vi => less とか).
    • 付録 inetd はデフォルトで入っている可能性があるので要確認(xinetd ?)


• 2015 年度(ロガー:渡辺 )
  • タイムスケジュール
    • 13:00 -- 13:08 レポート講評(渡辺)
    • 13:09 -- 14:07 講義編
    • 14:07 -- 14:15 休憩
    • 14:15 -- 14:55 実技編
    • 14:55 -- 15:01 本日の一冊の紹介．打ち上げ, ジンパ, ラッキーピエロ巡業の案内
    • 15:01 -- 15:20 実技編(残り)
    • 15:20 -- 打ち合わせ
  • 講義編
    • パケット盗聴されたと分かるものなのか？-> たぶん分からない．なので．常に見られているということに注意しなければならないし，Secure なプロトコルを用いる必要がある．
    • sftp とは? -> ssh のプロトコルを用いたコマンドでftp プロトコルを用いたftp コマンドとは異なる
    • 暗号化する，しないだと速度が変わる? -> 重いファイルを送るときには変わると思う．ざっくり半分くらい時間が変わる(高橋談)
    • HTTPS 知ってる人? -> わりといる
    • 証明書が認証する，しないはだれがやる? -> 第三者．例えばSECOM とか
    • 証明書の説明をするスライドを追加する(次年度)
    • chrome だとオレオレ認証は明確にダメだ(鍵にバツ印)と言われる
    • (補:高橋) オレオレ認証でもhttps だと通信自体は暗号化されている．がサイトが怪しいのかもしれないので，注意が必要．
    • p12. パケットが盗聴されたのか，ロスしたのか分からないので，パケット転送の図を直線でつながずに，ネットワーク(網)の図を用いて説明する．
  • 実技編
    • local@ や remote@ が分からない人がいた => いつもだから仕方がない
    • xeyes をリモートからホストに送っている感じが分かりにくい． => リモートに写真を落として自分のところに表示させるとか
    • ALL:localhost をここで書くご利益が分からなかった． => 次回実習の事前準備に書く


• 2014 年度
  • タイムスケジュール
    • 13:00 -- 13:08 レポート講評
    • 13:08 -- 13:50 講義編
    • 14:00 -- 15:15 実技編
    • 15:20 -- 打ち合わせ
  • 講義編
    • プロトコルを覚えていない人が何人かいた
    • Teletype とは? => 端末の名前. 昔, スタンフォード大学で用いられていたもの. スタンフォード大学と別のところの端末同士(Teletype 同士)をつなぐときに用いられたプロトコルなので telnet と呼んだ
    • SSL/TLS はそれぞれ SSL というプロトコルと TLS というプロトコルがあるのか? => そのとおり, SSL と TLS は別のプロトコル. 最初に SSL のプロトコルを作ったが更にセキュアな TLS というプロトコルができた. しかしながら, ほぼ同じで SSL の方が認知度が高いので SSL/TLS とされることが多い
    • ホワイトリスト, ブラックリストとは? => 信用できる人を載せたリストがホワイトリスト, 逆に信用できない人を載せたリストがブラックリスト
    • allow は deny からの例外を設定するもの. 例えば deny になんも設定しないと allow に何か書いていたとしてもすべて許可される
    • アクセス制限のページで出たサービス名とは? => デーモンの名前
    • https 通信の目印はブラウザの鍵マークや https://... とかになっていることと言ったがサイトによっては URL 欄を偽装してそれらを見せるものがあるがどうすればいいですか? => SSL の通信は暗号化証明書が用いられる. 正しい証明書かどうかを確かめると良い. しかしながら, どんな証明書が正しい証明書化は分からないので要調査
    • 早く終わったので来年度はファイアーウォールや p2p の話をすればよい. もう一つの案として公開鍵の話をここでする(今回の時間を見るとできそう)
    • ソフトのアップデートの例としてスマホのことを挙げておくとよいかも
    • 用語を挙げるだけに説明がとどまっていたように感じたので, 全てじゃなくてよいので深い話を入れた方が良いと思う
    • 来年度: p.29 の絵のtelnet(23) はssh(22) に変える
  • 実技編
    • カーネルイメージファイルがアップグレードされたときには sudo reboot をすることを書いてほしい
    • local@ や remote@ が分からない人がいた => しょうがないのでこのままで良いと思う
    • ソフトウェアを最新版に保つ方法はやる必要はない. その上, 書いているリストではソフトウェア情報を取得できない => ここの内容は実習の最初の apt-get update するところに移す
    • hosts.deny, hosts.allow を書き換えるたびにリスタートするべき?
    • debian のインストール時に locale のデフォルトを英語にするべき
    • hosts.allow に ALL:localhost を加えるべき


• 2013 年度
• タイムスケジュール
• 13:00 -- 13:07 レポート講評
• 13:07 -- 14:15 講義編
• 14:25 -- 16:00 実技編
• 16:30 -- 打ち合わせ
• 講義編
• 双方向とは→行ったり来たりのこと. 一方的にデータ送るだけではなく相手からもデータが送られてくる.
• root になっていてアカウントを指定しないで ssh をするとどうなる→リモートの root でログインしようとする. 実際は root でリモートログインするのは推奨されないので設定でできないようにされていることもある.
• 公開鍵方式とハッシュ関数との関係性がわからない→暗号化そのものはハッシュ関数でおこなう. 暗号化したデータのやり取りの仕方が公開鍵方式
• MAILER-DAEMON を知らない人→何人かいる程度
• 講義の前半(sshなどの話)は結構減らしてもいいかも.
• ファイアーウォールの話もしたほうがいいと思う
• 実技編
  • ForwardX11 は X11Fowarding だと思う.
  • finger は削ったほうがいいと思う.
  • [3.3] の sources.list に追加するアドレスが間違っている. →ディレクトリ構造が変わったらしい.
  • gpg のメールアドレスはダミーのアドレスを書いていたほうがいいのかも(メールアドレスを調べるのに時間がかかっていた)
  • joho7 の gnome が調子が良くない. もう一度再インストールが必要かも
  • アカウントを変えるところで ssh -X を使ってローカルのアカウントを変えたほうがよいと思う. しかし, hosts.deny に ALL:ALL と書くので順番などは考慮したほうがよい.


• 2012 年度
  • タイムスケジュール
    • 13:00 -- 13:10 レポート講評
    • 13:10 -- 14:05 講義編
    • 14:15 -- 15:30 実技編
    • 15:40 -- 打ち合わせ
  • 講義編
    • SNS 等でファイルをUP することは講義中の「ファイル転送」を使っているのか？
      • 必ずしもそうではない．相手側のサーバの設定に依存する．
      • スタンダードなのはHTTP ？
    • FTP の匿名利用とはなにか？
      • サーバ等の接続の際に認証を必要とするが，専らファイルを配布する目的で匿名でアクセスできる．
      • 昔は，HTTP 等があまりメジャーではなく，ファイル転送がFTP が使われていた．
    • 遠隔ログインは制限することができるのか．→できる
    • どの計算機でもSSH できるのか？
      • できない．
      • 同じ空間であればできる？(ex. 3n+1,+2 機 から3n+1,+2 機にログインできる)
      • 設定次第で遠隔ログイン制限することができる．
    • .deny .allow の例を教えてください．
      • .deny[ALL: ALL] はすべてのサービスをすべてのホストに対し制限する
      • .allow [sshd: .ep.sci.hokudai.ac.jp] はsshd を ドメインに[.ep.sci.hokudai.ac.jp] がついているものに許可する．
    • Debian 管理システム 「長期のチェック期間」は長い時間というわけではなく，チェックの回数が多いということ．
    • デーモン を開けるようなプログラムはあるのか？
      • ある．
      • ポートを開けるようなプログラムがパッケージに組み込まれている可能性がある．
      • Debian の場合はaptitude 等の時に確認が出る
    • F5 アタック(サーバに再読み込み要求を何度もし，サーバをパンクさせる)を防ぐ手だてはありますか？
      • 再読み込み要求の回数を制限できる
      • IP アドレス等を.deny に書きこむことで制限する
    • 暗号化はホントに読まれないのか？
      • 暗号化が破られないことは絶対ない．
      • 世の中には暗号化を破ろうとする人がたくさんいる
    • firefox のcapture 画像が古い
    • プライベート・グローバルIP の知識を加える必要がある？(サブネット等)
      • プライベートIP を使うのは最近では当たりまえ？
      • 最終回の今後の展開の時に加えるのもよい？
  • 実技編
    • sources.list の編集は必要か？
      • 編集を覚えるという意味で必要
      • Dennou-h の設定が変わった？
    • ELMS にSSH でログイン
      • できない人がいた
      • 実体は一つではない？
      • 残しておいて対策を練る必要がある
  
  
• 2011 年度
  • タイムスケジュール
    • 13:00 -- 13:10 レポート講評
    • 13:10 -- 14:13 講義編
    • 14:25 -- 15:20 実技編
    • 15:30 -- 打ち合わせ
  • 講義編
    • [質問] 遠隔ログインした後コマンドを実行するのは, 遠隔コマンド実行したことになるか?
      • 遠隔ログインしてコマンド実行するのと, 遠隔コマンド実行は auth.log 上では同じ履歴が残ることにはなる.
    • [補足] 遠隔コマンド実行もパスワード入力を求められる.
    • [補足] 今いるホストに遠隔ログインする場合 (例: joho15 -> joho15)もパスワード入力を求められる.
    • [補足] パケット盗聴で最も困るのは パスワード, 個人情報が見られてしまうこと.
    • [質問] Telnet は最も古い相互通信用プロトコルと言い切って良いか? (多分良いような気がするが...)
    • [補足] 基本的に log は root でなければ閲覧することは出来ない.
  • 実技編
    • 本日の二冊を紹介するのを忘れていた. ssh などに関する書籍を紹介するのも良いかも.
    • 同じテーブルではない受講生同士でペアを作って作業するのはちょっと 大変だった. 情報実験機を移動して作業すると良いかも. 今後, 共同作業が必要な回は工夫しましょう.
    • 情報基盤センターの公開鍵を取得済みの人がログインできなかった. 公開鍵を消すとログインできる人もいたし, 消してもうまくいかない人もいた.
    • apt の sources.list に dennou-h に対する記述を加えたときに warning が出るところもあれば, 出ないところもあった.
  
  
• 2010 年度
  • タイムスケジュール
    • 13:00 -- 13:07 レポート講評
    • 13:07 -- 13:47 講義編
    • 13:55 -- 15:15 実技編
    • 15:15 -- 15:20 本日の二冊・連絡事項
    • 15:30 -- 打ち合わせ
  • 講義編
    • [page10]:遠隔ログインをする際は，ローカルホストとリモートホストの両方に自分のアカウントを持っていることと,リモート側に sshd が走っている必要がある.
    • [page18]: anonymous ftp は使用されているのか？
      • Debian のインストール時には使用されているみたい。
      • ブラウザからダウンロードする場合もある
    • [page21]:Mac の場合もターミナルと呼ぶ.
    • [page26]:http"s" や鍵マークも SSL 機能が付いていなくてもつけることができるらしい．Firefox の場合の確認方法はページ上で右クリックしてページ情報,セキュリティタグから確認できる(ブラウザによって方法は異なる)
    • [page29]: メモリに常駐とはそのプログラムが常に動いているということ．
    • [page33]:セキュリティホールとはセキュリティに危険を生じるようなソフトウェア上の不具合のこと.例えば Linux においては, 不必要なポートが開いているためにそこから情報が漏えいしてしまう場合がある.もしくはアカウントが不正に取られてしまう．
    • [page34]: ソフトウェアは, こまめに更新・最新版にするように．またライセンス期限があるので,切れた場合には最新版にするように.
    • [page34]: 誤字 anounce -> announce
    • ネットワークサービスとは何かをもう一度説明したうえで, デーモンを教えるといい.
  • 実技編
    • 「ident 以外をコメントアウト」:ident 自体がないので無視.来年以降は見るだけにするように書き換える
    • inetd.conf が入っていない: openbsd-inetd をインストール(2009年度裏方参照)
    • ssh -x (小文字のx) だと X を飛ばせなくなる.
    • 来年度は denyhosts を使った実習を追加する
  
  
• 2009 年度
  • タイムスケジュール
    • 13:01 -- 13:05 レポート講評
    • 13:06 -- 14:02 講義編
    • 14:10 -- 15:37 実技編
    • 15:51 -- : 打ち合わせ
  • 講義編
    • サービスとは何か?
      • サーバに関していえばクライアントの要求に答えること
    • 手元の計算機以外で計算したことがある学生は結構いる?
    • 踏台にされるとは?
      • 自分のマシンが悪用されること
    • ポートを操作するのとデーモンを停止するのは別なこと
    • デーモンが行うのはどの範囲までか?
      • サービスの提供まではデーモンの仕事
    • hosts.allow と hosts.deny の両方に記述したらどうなる?
      • hosts.deny が優先され、hosts.allow に記述されたもののみ許可される
  • 実技編
    • 資料の inetd.conf が昔のままだった (コメントアウトするものが、そもそも記載されていなかった)
      • lenny では、telnet サーバ側のが入っていないので正しい
    • joho05 に inetd.conf がなかった
      • openbsd-inetd をインストールし対処
    • joho14 の IP アドレスの設定を間違っていた
      • IP アドレスを正しく設定
    • joho 17 から joho16 へ X を飛ばせない
      • 原因究明中、ログ確認
  
  
• 2008 年度
  • タイムスケジュール
    • 13:02 -- 13:48 講義編
    • 14:00 -- 15:29 実技編
    • 15:40 -- : 打ち合わせ
  • 講義編
    • slogin コマンドはログイン先を記述する必要がある.
    • ssh は単純に telnet に暗号化が加わっただけではない.
      • telnet でファイル転送することは出来ない.
      • ssh で暗号化した経路の中で別のプログラムを走らせることも可能.
    • Windows の場合, 自動で定期的に update するべきものを 調べてくれる.
      • 「update しますか?」と聞かれた際, update は面倒である としてさぼると危険なマシンになるので注意.
      • 「再起動が必要です」と言われて面倒であるとしてさぼると やはり危険なマシンになるので注意.
    • Windows は世界で最も普及しているので, 最も攻撃対象となりやすい. もっとも他が安全というわけではないが.
    • ポート番号の割り当てはかなり中途半端な数で行われているが, 何か意味はあるのだろうか?何か歴史的事情がある?2進数的には 実は切れ目が良い?来年度の人頑張れ!
    • https の事例については, その場で web ブラウザで実演するか, 資料に画像を張り込むと良いかもしれない.
    • SSL 証明書の有無を確認すると, フィッシング詐欺にはまる可能性が 小さくなるだろう.
    • セキュリティーメールや JPCERT のサイトの画像を載せるとイメージ が湧くようになるかもしれない.
  • 実技編
    • 準備作業の追加
      • sshd_config ファイルが真っ白である. 問題解決の為には, sudo aptitude install ssh を実行(既に root になっている人は aptitude install ssh を実行).
    • inetd.conf で telnet, ftp をコメントアウトするという記述が資 料にあるが, もともと記述が無かったり, 最初からコメントアウト されていたりしたようだ. VTA の人がコメントアウトについては適宜 指示してもらえると万々歳.
    • 今回 aptitude upgrade コマンドを実行して保留となってしまう パッケージを更新したい場合には aptitude dist-upgrade コマンド を実行すればうまくいく. 但し更新すべきか否かは事前に確認するべきである.
    • aptitude コマンド実行時にエラーがある場合, VTA の人はスルーさ せないようにすべし. ワケワカラン場合には TA や先生に訊きまし ょう.
    • 実習編資料は基本的には不親切に作っておきましょう.
  
  
• 2007 年度
  • タイムスケジュール
    • 14:45 -- 14:47 レポート講評
    • 14:47 -- 15:40 講義編
    • 15:50 -- 17:55 実技編
    • 17:55 -- 18:00 closing
  • 講義編
    • リモートアクセスの意義・具体例を追加すべき. [例] : 研究資料のバックアップ, 外部のより高性能なパソコンで計算 etc
    • 遠隔ログイン・遠隔コマンド実行の概念図をさすがにそろそろ更新した方が良いかもしれない(修正は2008年度に). /etc/passwd を見に行くという事例は教育上宜しくないということも一つにはある.
    • A という人が ssh のコマンドを実行した場合には 「A login :」とログイン名は聞かれず, 「A@xxx's password」といきなりリモート先の計算機のパスワードを聞かれる (slogin の場合には先ずログイン名を聞かれる)
    • 12枚目のスライドの「パスワードは保護されている?」の問いは止めて, 何も対策を講じないとパスワードは保護されないと書く.
    • 12枚目のスライドの絵も新たに作成した方が良いだろう. ログインはリモートアクセスされる側のマシンの仕事ではない. 正しくはアクセスの許可または不許可.
    • ポートとポート番号を復習するスライドを 1 枚追加する.
    • TeraTerm, Putty, WinSCP で使っている通信規約は ssh, FFFTP で使っている通信規約は ftp.
    • 不正なアクセスの具体的内容 : (1) password を破って不正にログイン (2) 外からアクセスし続けて計算機を使えなくする (3) DoS 攻撃, 踏み台, フィッシング詐欺などにその計算機を悪用されてしまう
    • デーモンの働きの例えを加えておくと良い. [例]:「部屋の中にいて荷物を受け取ってくれる人」
    • ftp のポート番号 : データ転送に使うのが 20 番, 制御に使うのが 21 番.
    • inetd で呼び出されるのもデーモンさんなのか (常駐しているものがデーモンの定義)? デーモンの定義はもう一度確認する必要がありそう.
    • inetd はポートの前にいて, パケットが来ると休んでいるデーモンさんを起こしてくれる.
    • 「デーモンを停止する＝ポートを閉める」は厳密ではないと思われる. 不必要なネットワークサービスを停止する方法には, デーモンを停止する方法とポートを閉める方法の二つがあるというのが正しい.
    • hosts.allow と hosts.deny の具体例を書いておくと良いだろう.
    • hosts.allow と hosts.deny の両方に ALL : と書いておくと, deny の方が優先される.
    • ファイアウォールソフトとは, ネットワークの出入り口で見張ってデータの出入りを制限するソフトのこと. 最近のウィルス対策ソフトにはファイアウォール機能がついている.
    • Mac ユーザの場合, アップル社から提供されるセキュリティー機能を入手したり, 市販のソフトを導入することによりセキュリティー対策を行うことが出来る.
  • 実技編
    • ftp のダウンロード元サイトを ftp.ep.sci.hokudai.ac.jp から別のサイト(dennou-h または debian-jp )にする.
  
  
• 2006 年度
  • タイムスケジュール
    • 13:00 -- 13:15 レポート講評
    • 13:15 -- 13:50 講義編
    • 14:00 -- 15:10 実技編
    • 15:10 -- 15:15 closing
  • 機種依存文字は化けているものを見せてやるとよい.
  • [座学] ftp を紹介する際, anonymous と OTP のキーワードに軽く触れると 良い(おまけ).
  • [実技] 大型計算機センター/情報メディアほげほげ : 情報基盤センターとなりました ので古い人は注意.
  • [実技] ファイルの編集はエディタを使ってもよいというコメントをテ キストの最初に付記しておくといいかも.
  • [実技] テキスト内の "_" が全体下線に重なって見えない (css の問題).

• 2005 年度
  • タイムスケジュール
    • 13:00 -- 13:05 レポート講評
    • 13:05 -- 13:35 講義編
    • 13:50 -- 15:10 実技編
    • 15:10 -- 15:15 closing
  • [座学] ftp を紹介する際, annouymous と OTP のキーワードに触れると 良い .
  • [座学] windows における遠隔ログイン方法の紹介(FFFTP, Putty).
  • レポート講評では, きちんと表示するレポートを決めて講評する こと.
  • 来年度は, パワーポイントファイルを新たにした方が良い. (書 式が美しくないので)
  • [実技] 休憩中の作業は休憩中の作業じゃなくてよい. (本文に 入れる)
  • [実技] 大型計算機センター/情報メディアほげほげ : 情報基盤センターとなりました ので古い人は注意.

• 2004 年度
  • 本筋とわき道をしっかり区別してしゃべる
  • S 系のコマンドを使わせることに重点を置く
  • ポートの存在とを閉める必要性を認識させる
  • 暇な人向けの付録テキストを付けておく
  • 時間配分 … レクチャー: 13:15 - 13:55 , 実習: 14:15 - 15:30
  • 実技編での割り込みをなるべくしない

• 時間配分 … レクチャー: 13:10 - 13:45 , 実習: 14:00 - 15:30
• 講義編の反省 (教育演習の実習生さんの講義)
  • 時間配分は良かった (事前の練習よりずっと良くなった!)
  • デーモンの説明を例え話を入れながら分かりやすく説明できると良かった
  • scp, ftp の使い勝手の違いをうまく補足する. 今回は scp, ftp の実演をしたが, 下手に実演すると自分が今どこにいてどこに転送をするかが混乱. ftp の場合はサーバ内で put, get を使うが誰が誰に対して行う操作かを明確に. scp にしても同様.
• 実技編の反省
  • 実技の説明は, 実習をはじめる前に全部説明してしまった方がよい.
  • 同じテーブルの情報実験機で host.deny, host.allow の設定の進み具合に差がある時は, local の host.* を設定した後に remote から local に入り直そうとすると良い.
  • 実技以前の所ではまったケースが多かった. ex.) ssh をインストールしてない! apt で指定したサーバーが落ちていた!, パスワード忘れた…など.

テキストなど

■ 書籍

■ 本日の一冊 ■
	中村 行宏, 横田 翔: 事例から学ぶ情報セキュリティ -基礎と対策と脅威のしくみ 2015/01, 技術評論社, ISBN 4-7741-7114-X

参考資料

• CERT/CC
• JPCERT/CC
• Debian 本家
• Debian JP Project
• 日本の Linux 情報
• Debian 便利ワザ集
• SSHとOTP (epnetfan座学レジュメ)