SSH3: HTTP/3 と QUIC を使用する SSHv2

 (github.com/francoismichel)
4 ポイント 投稿者 GN⁺ 2023-12-17 | 1件のコメント | WhatsAppで共有

SSH3: HTTP/3 を使う、より高速で高機能なセキュアシェル

  • SSH3 の概要: SSH3 は SSH プロトコルを全面的に見直し、その意味論を HTTP のメカニズム上にマッピングしたもの。SSH3 は安全なチャネル確立のために QUIC+TLS1.3 を使用し、ユーザー認証には HTTP の認証メカニズムを活用する。

SSH3 はより高速

  • セッション確立速度: SSH3 は SSHv2 と比べてセッション確立がはるかに速い。SSHv2 は 5〜7 回のネットワーク往復時間を必要とするが、SSH3 はわずか 3 回の往復時間で済む。

SSH3 は安全

  • セキュリティメカニズム: SSH3 は TLS 1.3、QUIC、HTTP のような強力で長年にわたり検証されてきたメカニズムに依存している。これらのプロトコルは、すでにインターネット上のセキュリティが重要なアプリケーションで広く利用されている。

SSH3 の公開サーバーは隠せる

  • サーバーの隠蔽: SSH3 サーバーは秘密のリンクの背後に隠されており、特定のリンクへ HTTP リクエストを行った認証試行にのみ応答する。これにより、インターネット利用者から SSH3 サーバーを 見えない状態 にできる。

SSH3 はすでに高機能

  • 新機能: UDP ポートフォワーディング、X.509 証明書の使用、サーバーの隠蔽、鍵不要のユーザー認証（OpenID Connect）などが可能。
  • OpenSSH 機能の実装: ~/.ssh/authorized_keys の解析、~/.ssh/config の解析、証明書ベースのサーバー認証、known_hosts メカニズム、ssh-agent の自動使用、SSH エージェントフォワーディング、TCP ポートフォワーディングなど、OpenSSH の人気機能を実装している。

SSH3 をインストールする

  • ソースからコンパイル: 最新の Golang バージョンが必要で、ソースコードをダウンロードしてバイナリをコンパイルする手順を踏む。
  • SSH3 サーバーのデプロイ: SSH3 サーバーをホストにデプロイする必要があり、X.509 証明書と秘密鍵が必要。ssh3-server 実行ファイルの使い方も提供されている。
  • SSH3 クライアントの使用: SSH3 サーバーが起動したら、SSH3 クライアントを使って接続できる。ssh3 実行ファイルの使い方も提供されている。

GN⁺の意見

  • 重要性: SSH3 は従来の SSH プロトコルと比べて、より高速なセッション確立と強化されたセキュリティを提供する。特に HTTP/3 ベースの新しい認証方式とサーバー隠蔽機能は、セキュリティ面で大きな利点がある。
  • 興味深さ: 既存の SSH ユーザーにとっては、OpenSSH の人気機能をそのまま使える点が魅力的。また、UDP ポートフォワーディングのような新機能は、ネットワーク管理者やユーザーに新たな可能性を開く。
  • 面白さ: SSH3 の実験的な性質と新機能は、IT 専門家に新しいツールを探索し実験する楽しさを提供する。OpenID Connect による鍵不要の認証方式は、ユーザー体験を革新的に変える可能性を持つ。

関連記事

1件のコメント

 
GN⁺ 2023-12-17
Hacker Newsの意見
  • SSH over QUICについてはさまざまな意見がある:
    • あるユーザーはSSH over QUICは非常に理にかなっていると考えており、TCPの代わりにUDP上のQUICチャネルを使うことに前向きな見解を示している。しかし、HTTP/3がここにどう適合するのか、単にオーバーヘッドを増やすだけではないのかと疑問を呈している。
    • 別のユーザーはHTTPとSSHではセキュリティモデルが異なると指摘し、QUICはHTTPには適していてもSSHには適しているか確信が持てないと述べている。また、x509証明書やOAuthのような技術はSSHに適していない可能性があると懸念している。
    • さらに別のユーザーは、HTTP/3を追加する利点はSSHサーバーをURLパスで「隠す」こと以外にないと考えており、既存のSSHホストキーやSSHFP、TOFUのほうが安全だと主張している。
    • あるユーザーは、このプロジェクトはOpenSSHやIETFのSSH3 RFCとは無関係の個人プロジェクトだと指摘している。
    • SSHプロトコルのバージョン3に対する要望に言及するユーザーもおり、暗号化されたSNIや標準化されたメタデータブロックが必要だと主張している。
    • WebSocket経由でSSHを使った経験を共有し、さまざまなトランスポート方式をサポートすることへの関心を示すユーザーもいる。
    • QUICの潜在的な利点を示すベンチマークが不足していると指摘するユーザーもおり、OpenSSHの固定ウィンドウサイズが帯域幅を制限していると述べている。
    • SSHv2 over HTTP/3の説明とともに、さまざまなSSHサーバーとクライアントが存在し、このプロジェクトが新しい暗号化方式を導入したわけではないと説明するユーザーもいる。このユーザーはまた、プロジェクトの成功を願う一方で、OpenSSHの変化に対する抵抗の強さを批判している。
    • WebSocketプロトコル経由でのUDPやTCPトンネリングに関する情報を共有するユーザーもいる。
    • HTTP/3経由のSSH接続は標準的なWebサイトのトラフィックのように見える可能性があり、中国のファイアウォールを回避できる可能性に言及するユーザーもいる。

このような多様な意見は、SSH over QUICという概念について興味深い議論を提供しており、技術的な長所と短所、そしてセキュリティ面での考慮事項を扱っている。