Apache MINA SSHD

Apache MINA SSHD は、クライアント側とサーバー側の両方で SSH プロトコルをサポートする 100% 純粋な Java ライブラリです。これは、 Unix オペレーティングシステムの SSH クライアントや SSH サーバーの置き換えを目的とするものではなく、SSH サポートを必要とする Java ベースのアプリケーションにサポートを提供します。

このライブラリは、複数の I/O バックエンドを利用できます。

デフォルトのトランスポートは組み込みで、Java の AsynchronousSocketChannel を使用します。
Apache MINA は、スケーラブルで高性能な非同期 I/O ライブラリであり、代わりに使用できます。または
Netty 非同期イベント駆動型ネットワークフレームワークもサポートされています。

サポートされている標準規格

リファレンス実装ドキュメント

RFC 4251 - Secure Shell (SSH) プロトコルアーキテクチャ
RFC 4252 - Secure Shell (SSH) 認証プロトコル
RFC 4253 - Secure Shell (SSH) トランスポート層プロトコル
RFC 4254 - Secure Shell (SSH) 接続プロトコル
RFC 4256 - Secure Shell プロトコル (SSH) のための汎用メッセージ交換認証
RFC 4335 - Secure Shell (SSH) セッションチャネル休止拡張
RFC 4344 - Secure Shell (SSH) トランスポート層暗号化モード
RFC 4345 - Secure Shell (SSH) トランスポート層プロトコルのための改良 Arcfour モード
RFC 4419 - Secure Shell (SSH) トランスポート層プロトコルのための Diffie-Hellman グループ交換
RFC 4716 - Secure Shell (SSH) 公開鍵ファイル形式
RFC 5208 - 公開鍵暗号標準 (PKCS) #8 - バージョン 1.2
RFC 5480 - 楕円曲線暗号サブジェクト公開鍵情報
RFC 5647 - Secure Shell トランスポート層プロトコルのための AES Galois Counter Mode
RFC 5656 - Secure Shell トランスポート層における楕円曲線アルゴリズム統合
RFC 5915 - 楕円曲線秘密鍵構造
RFC 6668 - Secure Shell (SSH) トランスポート層プロトコルのための SHA-2 データ整合性検証
RFC 8160 - Secure Shell (SSH) における IUTF8 ターミナルモード
RFC 8268 - Secure Shell (SSH) のための追加の Modular Exponentiation (MODP) Diffie-Hellman (DH) 鍵交換 (KEX) グループ
RFC 8308 - Secure Shell (SSH) プロトコルにおける拡張ネゴシエーション
- 注: - コードには RFC を実装するための フック が含まれており、 server-sig-algs 拡張のデフォルトのクライアント実装とサーバー実装も提供します。
RFC 8332 - Secure Shell (SSH) プロトコルにおける SHA-256 および SHA-512 を使用した RSA 鍵の使用
- 注: - サーバー側はデフォルトでこれらの署名をサポートしています。クライアント側は特定の初期化が必要です - セクション 3.3 および上記の RFC 8308 用フックを参照してください。
RFC 8731 - Curve25519 および Curve448 を使用した Secure Shell (SSH) 鍵交換方式
Secure Shell のための鍵交換 (KEX) 方式の更新と推奨事項
U2F/FIDO セキュリティキーの OpenSSH サポート
- 注: サーバー側はデフォルトでこれらの鍵をサポートしています。クライアント側は特定の初期化が必要です
SSH で使用する OpenSSH 公開鍵証明書認証システム
SSH プロキシジャンプ
SFTP バージョン 3-6 + 拡張機能
- supported - DRAFT 05 - セクション 4.4
- supported2 - DRAFT 13 - セクション 5.4
- versions - DRAFT 09 - セクション 4.6
- vendor-id - DRAFT 09 - セクション 4.4
- acl-supported - DRAFT 11 - セクション 5.4
- newline - DRAFT 09 - セクション 4.3
- md5-hash、md5-hash-handle - DRAFT 09 - セクション 9.1.1
- check-file-handle、 -
Endless tarpit - HOWTO(s) セクションを参照してください。

実装済み/利用可能なサポート

認証方式

hostbased, publickey, OpenSSH host-based public-key, keyboard-interactive, password

暗号

aes128cbc, aes128ctr, aes192cbc, aes192ctr, aes256cbc, aes256ctr, arcfour128, arcfour256, blowfish-cbc, [email protected], [email protected], [email protected], 3des-cbc

ダイジェスト

md5, sha1, sha224, sha256, sha384, sha512

MAC

hmacmd5, hmacmd596, hmacsha1, hmacsha196, hmacsha256, hmacsha512, [email protected] , [email protected], [email protected]

鍵交換

diffie-hellman-group1-sha1, diffie-hellman-group-exchange-sha256, diffie-hellman-group14-sha1, diffie-hellman-group14-sha256 , diffie-hellman-group15-sha512, diffie-hellman-group16-sha512, diffie-hellman-group17-sha512, diffie-hellman-group18-sha512 , ecdh-sha2-nistp256, ecdh-sha2-nistp384, ecdh-sha2-nistp521, curve25519-sha256, [email protected], curve448-sha512
- Java 11 より前の Java バージョンでは、curve25519-sha256、[email protected]、または curve448-sha512 に Bouncy Castle が必要です。

圧縮

none, zlib, [email protected]

署名/鍵

ssh-dss, ssh-rsa, rsa-sha2-256, rsa-sha2-512, nistp256, nistp384, nistp521 , ssh-ed25519 (requires eddsa optional module), [email protected], [email protected] , [email protected], [email protected], [email protected] , [email protected], [email protected], [email protected]

注: 上記のリストには、コード内でサポートされているすべてのセキュリティ設定が含まれています。ただし、最新の推奨事項に従い、デフォルトのクライアント/サーバー設定には、現在安全に使用できると見なされているセキュリティ設定のみが含まれています。含めたいユーザーは、安全でない設定を 明示的に 行う必要があります。次の設定は非推奨となり、デフォルト設定には含まれなくなりました:

RFC 8758 - Secure Shell (SSH) における RC4 の非推奨化
RFC 8429 - Kerberos における Triple-DES (3DES) と RC4 の非推奨化
- Kerberos に関するものですが、DES の脆弱性についても言及しています。
OpenSSH リリースノート - 通常、事実上の慣行を示す良い指標です
SHA-1 ベースの鍵交換と署名
MD5 ベースおよび短縮 HMAC アルゴリズム
RFC 8270 - Secure Shell の推奨最小 Diffie-Hellman モジュラスサイズを 2048 ビットに引き上げる注: 値を プログラムで またはシステムプロパティを介して初期化することで、1024 を使用することも可能です - セキュリティプロバイダーのセットアップを参照してください。コードには引き続き 1024 のモジュラスが含まれており、ユーザーがデフォルトの最小値を 明示的に その値まで引き下げた場合には、それらを使用します。

注意:: RFC 8332 - セクション 3.3 によると

実装経験から、SSH サーバーがサポートしていない公開鍵アルゴリズムを試みるクライアントに対して、認証ペナルティを課すサーバーが存在することが示されています。

"server-sig-algs" 拡張を実装していないサーバーに対して RSA 鍵で認証する場合、クライアントは認証ペナルティを避けるために "ssh-rsa" 署名をデフォルトにしてもよい (MAY)。新しい rsa-sha2-* アルゴリズムが十分に広く採用され、 "ssh-rsa" を無効にすることが正当化される場合、クライアントは新しいアルゴリズムのいずれかをデフォルトにしてもよい (MAY)。

これは、この問題 (および関連する問題) に遭遇したユーザーは、問題を回避するためにサポートされているセキュリティ設定を 明示的に 変更する必要があることを意味します。

特記事項: ssh-rsa は、まだ多くのシステム / ユーザーが使用しているため、デフォルト設定の一部として残されています。ただし、将来のバージョンではデフォルトから削除されます。そのため、ユーザーにはできるだけ早く他の鍵 (例: ECDSA、ED25519) への移行を強くお勧めします。

リリースノート

問題の報告

バグ報告や改善・機能リクエストは、GitHub イシュートラッカーまたは Apache イシュートラッカーに登録できます。

セキュリティ脆弱性などの機密性の高い問題は、いずれのイシュートラッカーでもなく、プライベートチャネルを通じて報告する必要があります。

コア要件

Java 8+ (バージョン 1.3 時点)
Slf4j

コードに必要なのは、コアの抽象 slf4j-api モジュールのみです。ロギング API の実際の実装は、既存の多くのアダプターから選択できます。

基本アーティファクト構成

sshd-common - プロジェクト全体で使用される基本クラスと、クライアント/サーバーのネットワークサポートを必要としないコードが含まれています。
sshd-core - 接続、トランスポート、チャネル、転送などを実装する基本的な SSH クライアント/サーバーコードが含まれています。
- sshd-mina、sshd-netty - デフォルトの NIO2 コネクタの代替品で、ネットワーク接続を確立および管理するために MINA および/または Netty ライブラリをそれぞれ使用します。
sshd-sftp - サーバー側の SFTP サブシステムと SFTP クライアントコードが含まれています。
- sshd-spring-sftp - Spring Integration 互換の SFTP アダプターが含まれています。
sshd-scp - サーバー側の SCP コマンドハンドラーと SCP クライアントコードが含まれています。
sshd-ldap - LDAP サーバーを使用するサーバー側のパスワードおよび公開鍵認証器が含まれています。
sshd-git - JGit SSH セッションファクトリの代替品が含まれています。
sshd-osgi - sshd-common と sshd-core を組み合わせたアーティファクトが含まれており、OSGi 環境にデプロイできます。
sshd-putty - PUTTY 鍵ファイルを解析できるコードが含まれています。
sshd-openpgp - OpenPGP 鍵ファイルを解析できるコードが含まれています (いくつかの制限あり - 関連セクションを参照)。
sshd-cli - コマンドラインクライアント/サーバー用のシンプルなテンプレートが含まれており、Linux の ssh/sshd コマンドに似たルックアンドフィールを提供します。
sshd-contrib - 現在レビュー中の実験的コードで、他のアーティファクトのいずれかに組み込まれる可能性があります (または、まったく新しいアーティファクトになる可能性もあります - 例: sshd-putty はこのようにして発展しました)。

オプションの依存関係

クイックリファレンス

コードのビルド

テストを含む

mvn clean install

テストなし

mvn -Pquick clean install

人気

apache__mina-sshd_CVE-2023-35887_2-9-2

人気