SSHキー作成入門：リモートサーバーへの安全なアクセス

By /

SSHキー作成入門：リモートサーバーへの安全なアクセス

はじめに

リモートサーバーへのアクセスは、現代のIT環境において不可欠です。ウェブサーバー、データベースサーバー、開発環境など、様々なサーバーにリモートからアクセスする必要があります。その際、セキュリティは最重要課題の一つです。従来、パスワード認証が広く使用されてきましたが、総当たり攻撃や辞書攻撃などに対する脆弱性が指摘されています。そこで、より安全なアクセス方法として、SSHキー認証が推奨されます。

この記事では、SSHキー認証の基本的な概念から、具体的な作成手順、設定方法、そしてセキュリティ上の注意点までを網羅的に解説します。SSHキー認証をマスターすることで、リモートサーバーへのアクセスをより安全かつ効率的に行うことができるようになります。

1. SSHキー認証とは？

SSH（Secure Shell）は、ネットワーク経由で安全にリモートコンピュータにアクセスするためのプロトコルです。SSHキー認証は、パスワード認証の代わりに、公開鍵暗号方式を用いてユーザーを認証する仕組みです。

1.1 公開鍵暗号方式の基礎

公開鍵暗号方式では、秘密鍵（private key）と公開鍵（public key）というペアの鍵を使用します。

  • 秘密鍵: ユーザー自身が厳重に保管する鍵。この鍵を使って暗号化されたデータは、対応する公開鍵でのみ復号できます。
  • 公開鍵: サーバーに登録する鍵。誰でも入手できます。この鍵を使って暗号化されたデータは、対応する秘密鍵でのみ復号できます。

SSHキー認証では、クライアント（アクセス元）が秘密鍵を保持し、サーバー（アクセス先）が公開鍵を保持します。

1.2 SSHキー認証の仕組み

  1. クライアントがサーバーに接続を要求します。
  2. サーバーは、登録されている公開鍵の中から、クライアントが提示したユーザー名に対応する公開鍵を探します。
  3. サーバーは、クライアントにランダムな文字列を送信し、その文字列を公開鍵で暗号化するように要求します。
  4. クライアントは、秘密鍵を使って受信した文字列を復号化し、サーバーに返送します。
  5. サーバーは、受信した文字列が正しいかどうかを確認し、正しければクライアントを認証します。

このプロセスにより、パスワードを送信することなく、クライアントが正当なユーザーであることを証明できます。

1.3 パスワード認証との比較

特徴 パスワード認証 SSHキー認証
安全性 比較的低い（総当たり攻撃、辞書攻撃に弱い） 高い（秘密鍵が漏洩しない限り安全）
利便性 パスワードを覚える必要あり 秘密鍵の管理が必要
認証方式 パスワード 秘密鍵と公開鍵のペア
攻撃対象 パスワードデータベース 秘密鍵

2. SSHキーの作成手順

SSHキーを作成するには、ssh-keygenコマンドを使用します。

2.1 ssh-keygenコマンドの基本

ssh-keygenは、SSHキーを生成、管理するためのコマンドです。

bash
ssh-keygen [オプション]

2.2 SSHキーの作成

  1. ターミナルを開く: ローカルマシン（アクセス元）でターミナルを開きます。

  2. ssh-keygenコマンドを実行: 以下のコマンドを実行します。

    bash
    ssh-keygen -t rsa -b 4096 -C "[email protected]"

    • -t rsa: RSA暗号方式を指定します（より安全なed25519も選択可能）。
    • -b 4096: 鍵の長さを4096ビットに指定します（大きいほど安全）。
    • -C "[email protected]": コメントとしてメールアドレスを追加します（必須ではありませんが、鍵の識別に役立ちます）。
    • ファイル名を指定: キーを保存するファイル名を指定します。デフォルトでは、~/.ssh/id_rsa（秘密鍵）と~/.ssh/id_rsa.pub（公開鍵）が使用されます。特に理由がない限り、デフォルトのファイル名を使用することをお勧めします。
    • パスフレーズを設定: 秘密鍵を保護するためのパスフレーズを入力します。パスフレーズを設定すると、秘密鍵を使用する際にパスフレーズの入力が求められます。パスフレーズを設定することを強く推奨します。空のパスフレーズも設定可能ですが、セキュリティレベルは低下します。
    • 確認: パスフレーズを再度入力して確認します。

SSHキーが正常に作成されると、以下のファイルが生成されます。

  • ~/.ssh/id_rsa: 秘密鍵（絶対に他人に見せないでください）
  • ~/.ssh/id_rsa.pub: 公開鍵（サーバーに登録します）

2.3 ed25519鍵の作成

より安全なed25519鍵を作成するには、以下のコマンドを使用します。

bash
ssh-keygen -t ed25519 -C "[email protected]"

ed25519は、RSAよりも短い鍵長で同等以上のセキュリティ強度を持つため、より効率的です。

3. 公開鍵のサーバーへの登録

作成した公開鍵を、アクセス先のサーバーに登録する必要があります。

3.1 公開鍵のコピー

まず、公開鍵の内容をコピーします。以下のコマンドで公開鍵の内容を表示できます。

bash
cat ~/.ssh/id_rsa.pub

表示された内容をクリップボードにコピーします。

3.2 authorized_keysファイルへの登録

サーバーにSSHでログインし、以下の手順を実行します。

  1. .sshディレクトリが存在しない場合は作成します。

    bash
    mkdir -p ~/.ssh
    2. authorized_keysファイルが存在しない場合は作成します。

    bash
    touch ~/.ssh/authorized_keys
    3. authorized_keysファイルに公開鍵の内容を追記します。

    bash
    echo "コピーした公開鍵の内容" >> ~/.ssh/authorized_keys

    または、テキストエディタ（vi, nanoなど）を使用して、authorized_keysファイルに公開鍵の内容を貼り付けます。
    4. authorized_keysファイルのパーミッションを適切に設定します。

    bash
    chmod 600 ~/.ssh/authorized_keys
    chmod 700 ~/.ssh

    これらのパーミッション設定は非常に重要です。誤ったパーミッション設定は、SSHキー認証を機能させなくするだけでなく、セキュリティ上のリスクを高めます。

3.3 ssh-copy-idコマンドの使用

ssh-copy-idコマンドを使用すると、公開鍵の登録をより簡単に行うことができます。

bash
ssh-copy-id user@server_address

  • user: サーバーのユーザー名
  • server_address: サーバーのIPアドレスまたはホスト名

このコマンドは、パスワード認証を使用してサーバーにログインし、自動的にauthorized_keysファイルに公開鍵を登録します。

4. SSHクライアントの設定

SSHクライアント（ローカルマシン）の設定を行うことで、SSHキー認証をより便利に使用できます。

4.1 ssh configファイルの設定

~/.ssh/configファイルを設定することで、接続先のサーバー情報や認証方式を事前に定義できます。

  1. ~/.ssh/configファイルが存在しない場合は作成します。

    bash
    touch ~/.ssh/config
    2. ~/.ssh/configファイルを編集します。

    bash
    nano ~/.ssh/config
    3. 以下の内容を追記します。

    Host server_alias # 接続時に使用する別名
    HostName server_address # サーバーのIPアドレスまたはホスト名
    User user # サーバーのユーザー名
    IdentityFile ~/.ssh/id_rsa # 秘密鍵のパス
    # Port 22 # ポート番号（デフォルトは22）

    • Host: 接続時に使用する別名（例: my_server）。
    • HostName: サーバーのIPアドレスまたはホスト名。
    • User: サーバーのユーザー名。
    • IdentityFile: 秘密鍵のパス。
    • Port: ポート番号（デフォルトは22）。

設定後、ターミナルから以下のコマンドで簡単にサーバーに接続できます。

bash
ssh server_alias

4.2 ssh-agentの使用

ssh-agentは、秘密鍵のパスフレーズを記憶し、毎回入力する手間を省くためのツールです。

  1. ssh-agentを起動します。

    bash
    eval "$(ssh-agent -s)"
    2. 秘密鍵をssh-agentに追加します。

    bash
    ssh-add ~/.ssh/id_rsa

    パスフレーズの入力を求められたら、入力します。
    3. ssh-addが正常に完了すると、以降のSSH接続ではパスフレーズの入力が不要になります。

5. セキュリティ上の注意点

SSHキー認証はパスワード認証よりも安全ですが、適切な管理が必要です。

5.1 秘密鍵の保護

  • 秘密鍵は絶対に他人に見せないでください。
  • 秘密鍵を安全な場所に保管してください（USBメモリやクラウドストレージは推奨されません）。
  • 秘密鍵にパスフレーズを設定することを強く推奨します。
  • 秘密鍵が漏洩した場合、すぐに新しい鍵を作成し、サーバーに登録されている古い公開鍵を削除してください。

5.2 公開鍵の管理

  • 不要になった公開鍵は、サーバーから削除してください。
  • 複数のサーバーで同じ鍵を使い回すことは避けてください。
  • 公開鍵を登録する際は、誤って秘密鍵を登録しないように注意してください。

5.3 その他のセキュリティ対策

  • SSHのポート番号を変更する（デフォルトの22番ポートを使用しない）。
  • ファイアウォールを設定し、SSHへのアクセスを許可するIPアドレスを制限する。
  • Fail2banなどの侵入検知ツールを導入する。
  • 定期的にサーバーのログを監査する。
  • SSHのバージョンを常に最新に保つ。

5.4 鍵のローテーション

定期的に鍵をローテーション（新しい鍵を作成し、古い鍵を無効化する）することで、セキュリティリスクを軽減できます。少なくとも年に一度、またはセキュリティポリシーで定められた間隔で鍵のローテーションを行うことを推奨します。

6. SSHキー認証のトラブルシューティング

SSHキー認証がうまくいかない場合、以下の点を確認してください。

  • 公開鍵が正しく登録されているか: authorized_keysファイルの内容を確認し、公開鍵が正しくコピーされているか確認します。改行が含まれていないか、余計なスペースがないかなども確認してください。
  • パーミッションが正しく設定されているか: ~/.sshディレクトリと~/.ssh/authorized_keysファイルのパーミッションが正しく設定されているか確認します。
  • SSHサーバーの設定: sshd_configファイルの設定を確認し、PubkeyAuthentication yesが設定されているか確認します。
  • SELinux/AppArmor: SELinuxやAppArmorなどのセキュリティモジュールがSSHの動作を妨げていないか確認します。
  • クライアントの設定: ~/.ssh/configファイルの設定が正しいか確認します。特に、IdentityFileのパスが正しいか確認してください。
  • ファイアウォール: ファイアウォールがSSHの通信をブロックしていないか確認します。
  • パスフレーズ: パスフレーズを入力する際に、CapsLockがオンになっていないか確認してください。

7. SSHキー認証の応用

SSHキー認証は、単にリモートサーバーにログインするだけでなく、様々な用途に応用できます。

7.1 Gitとの連携

GitリポジトリへのアクセスにSSHキー認証を使用することで、安全にコードを共有できます。GitHub、GitLab、Bitbucketなどのプラットフォームでは、SSHキー認証を推奨しています。

7.2 自動化スクリプト

自動化スクリプトでSSHキー認証を使用することで、パスワードを入力することなく、安全にリモートサーバーにコマンドを実行できます。

7.3 SCP/SFTP

SCP（Secure Copy）やSFTP（SSH File Transfer Protocol）でSSHキー認証を使用することで、安全にファイルを転送できます。

8. まとめ

この記事では、SSHキー認証の基本的な概念から、具体的な作成手順、設定方法、そしてセキュリティ上の注意点までを解説しました。SSHキー認証は、パスワード認証よりも安全で、より効率的なリモートサーバーへのアクセス方法です。

SSHキー認証をマスターすることで、リモートサーバーへのアクセスをより安全かつ効率的に行うことができるようになります。セキュリティ上の注意点を守り、安全なリモートアクセスを実現してください。

付録：参考文献

この記事が、SSHキー認証の理解と実践に役立つことを願っています。

コメントする

メールアドレスが公開されることはありません。 ※ が付いている欄は必須項目です

上部へスクロール