rabbit-slide-znz-openssh-on-debian9 2017.06.18

checksums.yaml

@@ -0,0 +1,7 @@
+---
+SHA1:
+  metadata.gz: 26ba9a497dbb0fb2ac338faf58f7a1cb5028aa3f
+  data.tar.gz: 7fc8922ccd39ea7231a9944b89b083e7b20bf21b
+SHA512:
+  metadata.gz: 05f330a18f570765093b416f98cd76b694e285cfb932960ca387c00dfdb39cb7bcdb2d20ff7e53aff0bc8cd70b5f6f6fbb6c70f062144d5371ba6aa2100ae16b
+  data.tar.gz: 89d8f0e0eb280fe390589de22b67844a7ef8d9d1c7cf4b0bb1c6da99df0ce9166d178a4cc7d95a033cb5e89b05f8b958b6030fd3db8003d33f02f70bc1b31a17

data/.rabbit

@@ -0,0 +1 @@
+openssh-on-debian9.md

data/README.md

@@ -0,0 +1,23 @@
+# stretchでのOpenSSHのTCP wrappersサポート
+
+ Debian 9 "Stretch" リリースパーティ in 関西 での LT の発表資料です。
+
+## 作者向け
+
+### 表示
+
+    rake
+
+### 公開
+
+    rake publish
+
+## 閲覧者向け
+
+### インストール
+
+    gem install rabbit-slide-znz-openssh-on-debian9
+
+### 表示
+
+    rabbit rabbit-slide-znz-openssh-on-debian9.gem

data/Rakefile

@@ -0,0 +1,17 @@
+require "rabbit/task/slide"
+
+# Edit ./config.yaml to customize meta data
+
+spec = nil
+Rabbit::Task::Slide.new do |task|
+  spec = task.spec
+  # spec.files += Dir.glob("doc/**/*.*")
+  # spec.files -= Dir.glob("private/**/*.*")
+  # spec.add_runtime_dependency("YOUR THEME")
+end
+
+desc "Tag #{spec.version}"
+task :tag do
+  sh("git", "tag", "-a", spec.version.to_s, "-m", "Publish #{spec.version}")
+  sh("git", "push", "--tags")
+end

data/config.yaml

@@ -0,0 +1,21 @@
+---
+id: openssh-on-debian9
+base_name: openssh-on-debian9
+tags:
+- debian
+- openssh
+presentation_date: 2017/06/18
+version: 2017.06.18
+licenses: []
+slideshare_id: stretchopensshtcp-wrappers
+speaker_deck_id: stretchdefalseopensshfalsetcp-wrapperssapoto
+ustream_id:
+vimeo_id:
+youtube_id:
+author:
+  markup_language: :markdown
+  name: Kazuhiro NISHIYAMA
+  email: zn@mbf.nifty.com
+  rubygems_user: znz
+  slideshare_user: znzjp
+  speaker_deck_user: znz

data/openssh-on-debian9.md

@@ -0,0 +1,98 @@
+# Debian での OpenSSH の TCP wrappers サポート
+
+author
+:   Kazuhiro NISHIYAMA
+
+date
+:   2017/06/18
+
+allotted-time
+:   5m
+
+theme
+:   lightning-simple
+
+
+# OpenSSH 6.7 で削除
+
+- *upstream で削除された*
+
+http://www.openssh.com/txt/release-6.7 に
+
+* sshd(8): Support for tcpwrappers/libwrap has been removed.
+
+とある
+
+# とりあえず拒否
+
+/etc/hosts.deny:
+
+    ALL: ALL
+
+- TCP wrappers 対応は OpenSSH だけじゃない
+- デフォルトは安全側に倒して拒否したい
+
+# すると……
+
+- 繋がらなくなった
+- 影響がないはずと思っていた openssh-server に影響がでた?
+
+# 試しに許可
+
+/etc/hosts.allow:
+
+    sshd: 127.0.0.1 [::1]
+    sshd: 10.
+    sshd: .jp
+
+- localhost を許可
+- 例として 10.0.0.0/8 を許可
+- 今は関係ないけど、逆引きが .jp も許可
+
+# すると……
+
+- 繋がった
+- 何かがおかしい
+- /usr/share/doc/openssh-server/changelog.Debian.gz をみてみることに
+
+# openssh (1:6.7p1-1) unstable; urgency=medium
+
+1:6.7p1-1 の項目の一部を引用:
+
+```
+* Restore TCP wrappers support, removed upstream in 6.7.  It is true that
+  dropping this reduces preauth attack surface in sshd.  On the other
+  hand, this support seems to be quite widely used, and abruptly dropping
+  it (from the perspective of users who don't read openssh-unix-dev) could
+  easily cause more serious problems in practice.  It's not entirely clear
+  what the right long-term answer for Debian is, but it at least probably
+  doesn't involve dropping this feature shortly before a freeze.
+```
+
+- いきなり消すと影響が大きいので、
+  とりあえず戻した、という感じ?
+
+# いったんまとめ
+
+- とりあえず stretch では、まだ TCP wrappers が使える
+- この先どうなるかはわからない
+- 鍵のロールオーバー https://www.debian.org/security/key-rollover/index.ja.html のようなこともあったので、個人的には Debian 独自が続くのは不安がある
+- upstream との差が開かない方が望ましいので、そのうち外れるのでは、という気がする
+
+# 確認環境
+
+- Debian GNU/Linux 9.0 (stretch)
+- openssh-server 1:7.4p1-10
+- Ubuntu 16.04.2 LTS (xenial)
+- openssh-server 1:7.2p2-4ubuntu2.2
+
+# ちなみに前のバージョンは?
+
+- Debian GNU/Linux 8.8 (jessie)
+- openssh-server 1:6.7p1-5+deb8u3
+- Ubuntu 14.04.5 LTS (trusty)
+- openssh-server 1:6.6p1-2ubuntu2.8
+
+Restore は 1:6.7p1-1、つまり jessie の時点での話だった
+
+jessie, stretch と残ったので、しばらく残るのか、突然消えるのか、まだわからなさそう

metadata

@@ -0,0 +1,63 @@
+--- !ruby/object:Gem::Specification
+name: rabbit-slide-znz-openssh-on-debian9
+version: !ruby/object:Gem::Version
+  version: 2017.06.18
+platform: ruby
+authors:
+- Kazuhiro NISHIYAMA
+autorequire: 
+bindir: bin
+cert_chain: []
+date: 2017-06-18 00:00:00.000000000 Z
+dependencies:
+- !ruby/object:Gem::Dependency
+  name: rabbit
+  requirement: !ruby/object:Gem::Requirement
+    requirements:
+    - - ">="
+      - !ruby/object:Gem::Version
+        version: 2.0.2
+  type: :runtime
+  prerelease: false
+  version_requirements: !ruby/object:Gem::Requirement
+    requirements:
+    - - ">="
+      - !ruby/object:Gem::Version
+        version: 2.0.2
+description: ' Debian 9 "Stretch" リリースパーティ in 関西 での LT の発表資料です。'
+email:
+- zn@mbf.nifty.com
+executables: []
+extensions: []
+extra_rdoc_files: []
+files:
+- ".rabbit"
+- README.md
+- Rakefile
+- config.yaml
+- openssh-on-debian9.md
+- pdf/openssh-on-debian9-openssh-on-debian9.pdf
+homepage: http://slide.rabbit-shocker.org/authors/znz/openssh-on-debian9/
+licenses: []
+metadata: {}
+post_install_message: 
+rdoc_options: []
+require_paths:
+- lib
+required_ruby_version: !ruby/object:Gem::Requirement
+  requirements:
+  - - ">="
+    - !ruby/object:Gem::Version
+      version: '0'
+required_rubygems_version: !ruby/object:Gem::Requirement
+  requirements:
+  - - ">="
+    - !ruby/object:Gem::Version
+      version: '0'
+requirements: []
+rubyforge_project: 
+rubygems_version: 2.5.2
+signing_key: 
+specification_version: 4
+summary: stretchでのOpenSSHのTCP wrappersサポート
+test_files: []