search

TeraTermProject / teraterm

Other
491 stars 39 forks source link

OpenSSH 証明書認証 #336

Open harre-orz opened 1 month ago

harre-orz commented 1 month ago

初めまして

最新の TeraTerm 5.3 では、SSH CA が利用できませんでした。

~~PuTTY の ppk形式には自身の秘密鍵に SSH CA で発行した証明書を含めれたので、 この ppkファイルを TeraTerm の秘密鍵として指定したところ、 SSHサーバ (OpenSSH) では userauth_pubkey: unsupported public key algorithm: ssh-unknown [preauth] となり、 認証に失敗しました。~~

PuTTY の ppk形式には自身の秘密鍵に SSH CA で発行した証明書を含めれたので この ppkファイルを TeraTerm の秘密鍵として指定したところ、 SSH2秘密鍵の読み込みに失敗しました とエラーになりました。 また、Pageant でppkファイルを読み込ませ、TeraTerm で Pageantを使う を指定したところ、 SSHサーバ (OpenSSH) では userauth_pubkey: unsupported public key algorithm: ssh-unknown [preauth] となり、 認証に失敗しました。

現在、SSH CA はサポートされているのでしょうか？

nmaya commented 1 month ago

サポートされていません。

PROTOCOL.certkeys ということは RFC になっていない規格でしょうか。

harre-orz commented 1 month ago

回答ありがとうございます。

PROTOCOL.certkeys ということは RFC になっていない規格でしょうか。

SSHのRFCは初めて読んだため解釈が間違っている場合はご指摘いただきたいのですが、 RFC 4252 の 7. で、公開鍵認証が記載されていますが、ここには具体的な鍵形式の言及なし。

RFC 8332 に ssh-rsa の言及あり RFC 8709 に ssh-ed25519 の言及あり

SSH CA認証は ssh-rsa-cert-v01@openssh.com や ssh-ed25519-cert-v01@openssh.com といった形式で、 ご指摘のとおり現在 RFC はなく、OpenSSH 独自の鍵形式になっているようでした。

TeraTerm では、RFC 化されていないSSH CA認証の鍵形式への対応は難しいのでしょうか？

nmaya commented 1 month ago

ssh-rsa は RFC4253 6.6 にあります。

RFC 化されていない……への対応は難しいのでしょうか？

RFC になくても対応しているものもあります。 緊急度や重要度や普及度により、プロジェクト内の優先度が決まると思います。 またそれとは別に、実装の難易度やメンバーの時間的余裕なども関係します。