List of openssh - Baldanders.infotag:Baldanders.info,2015-03-02:/tags2015-03-02T09:00:00+00:00バルトアンデルスは連続的な怪物,時間の怪物である。(ホルヘ・ルイス・ボルヘス 『幻獣辞典』より)https://baldanders.info/images/avatar.jpghttps://baldanders.info/images/avatar.jpgPuTTY 0.64 がリリースtag:Baldanders.info,2015-03-02:/blog/000815/2015-03-02T09:00:00+00:002015-03-02T09:00:00+00:00今回は2つの脆弱性が修正されている。Spiegel/profile/<p> <a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/">PuTTY</a> 0.64 がリリースされている。 今回は2つの脆弱性が修正されている。 </p><ul> <li><a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/private-key-not-wiped-2.html">PuTTY vulnerability private-key-not-wiped-2</a></li> <li><a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/diffie-hellman-range-check.html">PuTTY bug diffie-hellman-range-check</a></li> </ul> <figure lang="en"> <blockquote> <q>PuTTY 0.63 and earlier versions, after loading a private key from a disk file, mistakenly leak a memory buffer containing a copy of the private key, in the function <code>ssh2_load_userkey</code>. The companion function <code>ssh2_save_userkey</code> (only called by PuTTYgen) can also leak a copy, but only in the case where the file it tried to save to could not be created.<br/> [...]<br/> This issue is distinct from <a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/private-key-not-wiped.html">private-key-not-wiped</a>, which was in a different part of the code and was fixed in 0.63.</q> </blockquote> <figcaption>via <q><a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/private-key-not-wiped-2.html">PuTTY vulnerability private-key-not-wiped-2</a></q></figcaption> </figure> <p> いやいやいや。 </p> <figure lang="en"> <blockquote> <q>PuTTY 0.63 and earlier versions implement Diffie-Hellman key exchange without checking that the value sent by the server is within the range [1,p-1]. This range check is required by section 8 of RFC 4253.</q> </blockquote> <figcaption>via <q><a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/wishlist/diffie-hellman-range-check.html">PuTTY bug diffie-hellman-range-check</a></q></figcaption> </figure> <p> いやいやいやいや。 </p><p> どうかいのう。 よいよ。 まぁいいや。 それが分かったということはチェックが働いてるってことだよね。 そう解釈しよう。 </p><p> トップページに </p> <figure lang="en"> <blockquote> <q>Apparently the build initially uploaded to the website as 0.64 was in fact built from the wrong branch and didn't have those fixes in. Sorry again! Teething trouble from last year's migration to git. A new 0.64 is now up in its place. You can identify the wrong build by the fact that the list box in the SSH > Kex config panel includes the option "ECDH key exchange", which is a post-0.64 feature that should not be in the real 0.64. The correct 0.64 should not have that option. </q> </blockquote> <figcaption>via <q><a href="http://www.chiark.greenend.org.uk/~sgtatham/putty/">PuTTY: a free telnet/ssh client</a></q></figcaption> </figure> <p> とあって,どうも開発途中のものを引っ込めて,急遽セキュリティ対応したって感じ。 開発版を使っている方は注意した方がいいかもしれない。 </p><p> すでに日本語対応のものが出ているので,こちらを適用してもよい。 </p><ul> <li><a href="http://hp.vector.co.jp/authors/VA024651/PuTTYkj.html">hdk の自作ソフトの紹介 | PuTTYjp</a>: Version 0.64-jp20150301 がリリースされている。お薦め</li> <li><a href="http://ice.hotmint.com/putty/">iceiv+putty</a>: 2015/02/28 版が 0.64 ベースになっている。こちらがお好みの方はアップデートを。</li> </ul><p> 今回の修正は plink.exe なども影響を受けるので,これらを使っているアプリケーション(<a href="https://code.google.com/p/gitextensions/">Git Extensions</a> など)にも注意する必要がある(plink.exe を同梱しているアプリケーションもあるため)。 </p><p> そうそう。 PuTTY って git repository を公開してるみたい。 </p> <pre class="brush:bash gutter:false" title="git clone putty">$ git clone git://git.tartarus.org/simon/putty.git</pre>
<p>
で取得できる。
</p><p>
安全なネット生活を。
</p>
<div class="hreview"><a class="item url" href="https://www.amazon.co.jp/exec/obidos/ASIN/B00P7SKB40/baldandersinf-22/"><img src="https://images-fe.ssl-images-amazon.com/images/I/51zsTEqIrML._SL160_.jpg" alt="photo" class="photo"/></a><dl><dt class="fn"><a class="item url" href="https://www.amazon.co.jp/exec/obidos/ASIN/B00P7SKB40/baldandersinf-22/">OpenSSH[実践]入門 Software Design plus</a></dt><dd>川本安武 </dd><dd>技術評論社 2014-11-05</dd></dl><p class="similar"><a href="https://www.amazon.co.jp/exec/obidos/ASIN/B00PHC4480/baldandersinf-22/" target="_top"><img src="https://images-fe.ssl-images-amazon.com/images/P/B00PHC4480.09._SCTHUMBZZZ_.jpg" alt="食べる!SSL! ―HTTPS環境構築から始めるSSL入門"/></a> <a href="https://www.amazon.co.jp/exec/obidos/ASIN/B00O8GIL62/baldandersinf-22/" target="_top"><img src="https://images-fe.ssl-images-amazon.com/images/P/B00O8GIL62.09._SCTHUMBZZZ_.jpg" alt="Linuxネットワークプログラミングバイブル"/></a> <a href="https://www.amazon.co.jp/exec/obidos/ASIN/B00QJINS1A/baldandersinf-22/" target="_top"><img src="https://images-fe.ssl-images-amazon.com/images/P/B00QJINS1A.09._SCTHUMBZZZ_.jpg" alt="UNIXシェルスクリプト マスターピース132"/></a> <a href="https://www.amazon.co.jp/exec/obidos/ASIN/B00R0XOFNI/baldandersinf-22/" target="_top"><img src="https://images-fe.ssl-images-amazon.com/images/P/B00R0XOFNI.09._SCTHUMBZZZ_.jpg" alt="すべてわかるストレージ大全 SDS/フラッシュが切り開くビッグデータの高度活用(日経BP Next ICT選書)"/></a> <a href="https://www.amazon.co.jp/exec/obidos/ASIN/B00NM7VROQ/baldandersinf-22/" target="_top"><img src="https://images-fe.ssl-images-amazon.com/images/P/B00NM7VROQ.09._SCTHUMBZZZ_.jpg" alt="内部構造から学ぶPostgreSQL 設計・運用計画の鉄則 Software Design plus"/></a> </p>
<p class="gtools">reviewed by <a href="#me" class="reviewer">Spiegel</a> on <abbr class="dtreviewed" title="2015-03-02">2015/03/02</abbr> (powered by <a href="http://www.goodpic.com/mt/aws/index.html">G-Tools</a>)</p>
</div>
PuTTY 0.63 is releasedtag:Baldanders.info,2013-08-07:/blog/000652/2013-08-07T09:00:00+00:002013-08-07T09:00:00+00:00PuTTY 0.63 がリリースされました。セキュリティ・アップデートなので早急にアップデートしましょう。Spiegel/profile/<p> 今日は立秋です。残暑お見舞い申し上げます。 </p><p> PuTTY 0.63 がリリースされました。 </p><ul> <li><a href="http://lists.tartarus.org/pipermail/putty-announce/2013/000018.html">PuTTY 0.63 is released</a></li> </ul><blockquote> "This is a SECURITY UPDATE. We recommend that _everybody_ upgrade, as soon as possible. <br/>This release fixes multiple security holes in previous versions of PuTTY, which can allow an SSH-2 server to make PuTTY overrun or underrun buffers and crash. We do not know of any way in which these vulnerabilities could permit a server to actually take control of the client, but we also don't know that that _can't_ be done, so we recommend you upgrade. <br/>These vulnerabilities can be triggered before host key verification, which means that you are not even safe if you trust the server you _think_ you're connecting to, since it could be spoofed over the network and the host key check would not detect this before the attack could take place. <br/>Additionally, when PuTTY authenticated with a user's private key, the private key or information equivalent to it was accidentally kept in PuTTY's memory for the rest of its run, where it could be retrieved by other processes reading PuTTY's memory, or written out to swap files or crash dumps. This release fixes that as well." <br/>(via "<a href="http://lists.tartarus.org/pipermail/putty-announce/2013/000018.html">PuTTY 0.63 is released</a>") </blockquote><p> とういうわけで,早急にアップデートしましょう。 ただし,今のところ日本語版はない模様。 日本語版の情報を持っている方は是非ご連絡を。 </p><p> 取り急ぎ。 </p><p> 8/8 追記: </p><p> <a href="http://ice.hotmint.com/putty/">iceiv+putty</a> では 0.63 をベースにした日本語版がリリースされている模様。 </p><p> <a href="http://hp.vector.co.jp/authors/VA024651/PuTTYkj.html">PuTTYjp</a> も 0.63 ベースのものがリリースされています。 </p>
PuTTYjp 0.62 対応版tag:Baldanders.info,2011-12-28:/blog/000579/2011-12-28T09:00:00+00:002011-12-28T09:00:00+00:00PuTTY の日本語版である PuTTYjp のバージョン 0.62-jp20111214 が登場しているようだ。Spiegel/profile/<p>
先日, <a href="https://baldanders.info/blog/000574/">PuTTY 0.62 がリリースされた</a>が, PuTTY の日本語版である PuTTYjp のバージョン 0.62-jp20111214 が登場しているようだ。
</p><ul>
<li><a href="http://hp.vector.co.jp/authors/VA024651/PuTTYkj.html">hdk の自作ソフトの紹介 | PuTTYjp</a></li>
</ul><p>
PuTTY 0.62 の環境に上書きコピーしてみたが問題なく使えているようだ。
そうそう, PuTTYjp の実行ファイルは puttyjp.exe だが, putty.exe にリネームしても問題ない。
</p><p>
日本語環境が使えるのはありがたい。
作者の方には感謝です。
</p>
PuTTY 0.62 リリースtag:Baldanders.info,2011-12-11:/blog/000574/2011-12-11T09:00:00+00:002011-12-11T09:00:00+00:00PuTTY 0.62 がリリースされた。Spiegel/profile/<p>
PuTTY 0.62 がリリースされた。
</p><ul>
<li><a href="http://lists.tartarus.org/pipermail/putty-announce/2011/000017.html">PuTTY version 0.62 is released</a></li>
</ul><p>
いくつか修正があるが, “SECURITY FIX” として
</p><blockquote>
“PuTTY 0.62 fixes a security issue present in 0.59, 0.60 and 0.61.
If you log in using SSH-2 keyboard-interactive authentication
(which is the usual method used by modern servers to request a
password), the password you type was accidentally kept in PuTTY's
memory for the rest of its run, where it could be retrieved by
other processes reading PuTTY's memory, or written out to swap
files or crash dumps.”
(via “<a href="http://lists.tartarus.org/pipermail/putty-announce/2011/000017.html">PuTTY version 0.62 is released</a>”)
</blockquote><p>
とある(0.61 より前のバージョンにも同様の問題があるので注意)。
日本語版はまだ見当たらない。
</p>
PuTTY 0.61 日本語環境tag:Baldanders.info,2011-09-08:/blog/000542/2011-09-08T09:00:00+00:002011-09-08T09:00:00+00:00PuTTY 0.61 が登場して久しいが,日本語版が登場しているらしい。Spiegel/profile/<p>
<a href="https://baldanders.info/blog/000527/">PuTTY 0.61 が登場</a>して久しいが,日本語環境を提供してくれる「ごった煮版」は 0.61 相当のものは出ないようである。
</p><blockquote>
<div style="border: solid thin;">
<p>本家で0.61が出たようですが、対応の予定はありますでしょうか?</p>
<p>投稿者 ごった煮ユーザー : 2011年07月14日 22:38 </p>
</div><div style="border: solid thin;">
<p>すいません。本業が忙しくてなかなか手を出せそうにありません。</p>
<p>投稿者 ゑ : 2011年07月15日 00:35 </p>
</div><p>
(<a href="http://yebisuya.dip.jp/yeblog/archives/a000552.html#comments">「ゑBLOG: PuTTY 0.60 ごった煮版 2007年8月6日版」コメント</a>より)
</p>
</blockquote><p>
で,代わりと言ってはナニだが,「<a href="http://ice.hotmint.com/putty/">ICE IV + putty</a>」なるものがあるそうで,こいつの最新版は PuTTY 0.61 のコードをベースに「ごった煮版」の機能を追加したものらしい。
</p><blockquote>
「PuTTY 0.61 よりも新しいソースコードをベースとして、 PuTTY 0.60 ごった煮版 2007年8月6日版 に諸々の機能を追加しました。」
(「<a href="http://ice.hotmint.com/putty/">ICE IV + putty</a>」より)
</blockquote><p>
というわけで,早速試してみた。
インストーラはなく,圧縮ファイルから必要なファイルを取り出してコピーするもののようだ(「<a href="http://ice.hotmint.com/putty/">ICE IV + putty</a>」インストールの節を参照のこと)。
(一応バックアップをとった上で)オリジナルの PuTTY 環境に上書きコピーしたが問題なく動作しているようだ。
(pagent を起動させている場合はいったん終了させてから上書きコピーする)
</p><p>
やぁこれで自宅にある古い EUC-JP の環境にアクセスできるよ(今までは 0.60 でアクセスしていた。自宅サーバだし)。
めでたしめでたし。
</p>
PuTTY 0.61 リリースtag:Baldanders.info,2011-07-15:/blog/000527/2011-07-15T09:00:00+00:002011-07-15T09:00:00+00:00なんと PuTTY が4年ぶりのアップデート。Spiegel/profile/<p>
なんと PuTTY が4年ぶりのアップデート。
</p><ul>
<li><a href="http://lists.tartarus.org/pipermail/putty-announce/2011/000016.html">PuTTY version 0.61 is released</a></li>
<li><a href="http://yebo-blog.blogspot.com/2011/07/4putty.html">4年ぶりにPuTTYがバージョンアップ</a></li>
</ul><p>
機能面では Windows 7 のジャンプリストに対応した点が嬉しい。
これでデスクトップにアイコンを置かずに済む。
あとは GSS-API (Generic Security Standard Application Programming Interface)に対応したことかな。
個人的には GSS-API を使う局面はないけど。
リリースノートを見る限りセキュリティ上の大きな問題はなさそうだけど, PuTTY はセキュリティツールだし,うちの環境でもアップデートすることにした。
</p><p>
ところで日本語圏のユーザは PuTTY のごった煮版を利用している人も多いだろう。
</p><ul>
<li><a href="http://yebisuya.dip.jp/Software/PuTTY/">PuTTY ごった煮版</a></li>
</ul><p>
ごった煮版では UI が日本語化されている他,日本語用の文字コード(EUC-JP, ISO-2022-JP など)への対応が行われているのが特徴である。
今のところ 0.61 用の日本語パッチはどこにも公開されてないようだ。
</p><p>
0.61 は,もちろん日本語には対応してない。
文字コードも,欧州の文字コード以外では UTF-8 しか選択できない。
自宅サーバの Linux 機は今だに EUC-JP なのでちょっと困っている。
まぁ,ごった煮版の環境は残しているので,自宅サーバへの接続にはそっちを使えばいいのだが。
</p><p>
ところで,動作確認のために PuTTYgen (鍵ジェネレータ)を弄ってて気がついたんだけど, DSA 鍵の鍵長をいくらでも大きくできるんだね。
びっくりしたよ。
ちょっとググッてみたら,PuTTY では N を160ビット固定のままで L をいくらでも大きくできるようにしているらしい。
</p><ul>
<li><a href="http://slashdot.jp/~doda/journal/465416">DSA鍵の鍵長</a></li>
</ul><p>
DSA について簡単に説明すると「DSA は ElGamal 署名方式の改良版で, L ビットの素数 p を使って160ビットのメッセージに320ビットの署名を付けるもの」である。
この「160ビットのメッセージ(=N)」を224および256ビットまで拡張したのが FIPS PUB 186-3 で定義される新しい DSA である。
DSA の仕様変更はもともと SHA-1 危殆化懸念に伴う SHA-2 への移行の要求から来ている。
だから L だけを大きくしても意味が無いのだ。
う~ん,どうなってるんだろう。
大丈夫なのか? SSH。
ちゃんと勉強しておけば良かった。
</p><p>
ちなみに NIST の SP800-131A では SHA-1 は署名での利用に関して2010年まで Acceptable,2013年まで Deprecated だ(署名以外では Acceptable)。
ついでに RSA の1024ビット長の鍵についても2010年まで Acceptable,2013年まで Deprecated である。
古い鍵をそのままお使いの方は,この機会に鍵を強めのものに更新することをお薦めする。
</p><p>
(SP800-57 では2010年までと決められていたが(いわゆる暗号の2010年問題), SP800-131A では少し緩和されている。
この辺の話について詳しくはまた後日紹介する)
</p><p>
参考:
</p><ul>
<li><a href="http://mailsrv.nara-edu.ac.jp/~asait/crypt.htm">暗号の話</a></li>
</ul>