List of Openssh [text.Baldanders.info]

Chromebook を導入する 6 — Git & Go コンパイラ

2024-05-06T00:00:00+00:00

さて。色々と脱線したが「Chromebook を導入する 3」の続きでようやく git の設定を始めるですよ。その前に Linux サブシステムの日本語化と pinentry-gnome3 の導入を済ませておく。以降はこれらの設定が終わってることを前提に書いていく。

Git のセットアップ

Git は最初から入っているのだが，見ての通り最新バージョンではない（2024-05-06 時点の最新は 2.45.0）。

git version

Ubuntu であれば PPA から最新をインストールできるのだが， Debian にはそういうのはないらしい。最新バージョンが欲しければソースコードをビルドして自前で用意しないとダメなようだ。なんだかなぁ。 Debian 系ってそういう文化なのかね。

というわけで git のバージョンアップは諦めて，とっととセットアップを済ませてしまおう。

最初に ~/.config/git/config ファイルを作っておく。中身は空でよい。

$ touch ~/.config/git/config

こうしないと勝手に ~/.gitconfig ファイルを作ってくれやがるので，ホームディレクトリが煩くなるのだ。

ファイルを作ったら初期設定を行う。初期設定なんか滅多にやらないので忘れてしまってるよ（笑）まずは基本情報から。

$ git config --global user.name "username"
$ git config --global user.email "username@example.com"

実際には自分の名前とEメールアドレスで置き換えること。

次は電子署名関連のの設定

$ git config --global user.signingkey 4F56CCE34EB6819E
$ git config --global commit.gpgSign true
$ git config --global tag.gpgSign true

これでコミットおよびタグ付与の際に電子署名を付けてくれる。 user.signingkey の後ろの 4F56CCE34EB6819E の部分は各自の電子署名鍵の鍵 ID で置き換えること。鍵 ID は gpg --list-keys コマンドの出力で分かる。

以下の設定はお好みで。

$ git config --global core.autocrlf input
$ git config --global init.defaultBranch main

私はリモートの Git リポジトリへのアクセスに ssh を使うことを想定している（「Chromebook を導入する 3」を参照のこと）。もし HTTPS アクセスを使う場合は credenntial 情報を管理するためのツールの導入や設定が必要になるかも知れない。

設定した内容は

$ git config --global -l

で確認できる。

Go コンパイラのインストール

Chromebook の Linux サブシステムには GCC や Go コンパイラは入ってない。いずれも APT でインストールできるのだが APT の Go コンパイラはバージョンが古いので（そういうとこよ），公式サイトからバイナリを取ってきて展開する。

$ cd /usr/local/src
$ sudo curl -L "https://go.dev/dl/go1.22.2.linux-amd64.tar.gz" -O
$ cd ..
$ sudo tar xvf src/go1.22.2.linux-amd64.tar.gz
$ sudo mv go go1.22.2
$ sudo ln -s go1.22.2 go

Go コンパイラへの PATH は /etc/profile に /usr/local/go/bin を追記しておけばいいだろう。これで

$ go version
go version go1.22.2 linux/amd64

と起動が確認できた。

Git と Go コンパイラの動作を確認する

今回はあらかじめ GitHub に動作確認用のリポジトリを作っておいた。

GitHub - spiegel-im-spiegel/hello: “Hello World” for golang

これをローカルに git clone する。

Hello World

go run hello.go 実行で “Hello World!” が表示されるところまで確認できた。ソースコードはこんな感じ。

package main

import "fmt"

func main() {
    fmt.Println("Hello World!")
}

このコードの “World” の部分を “Chromebook” に書き換えて GitHub にプッシュするところまでやってみる。

Hello Chromebook

上手く行ったかな？ちなみにこの時点ではエディタに vim を使っている。 GitHub サイトで確認してみよう。

Hello Chromebook

うんうん。ちゃんとコミットに電子署名が付いてるね。これでよーやく VS Code を導入する準備ができたよ。

【2024-05-12 追記】 Go の開発環境を外部ストレージに構築する

内部ストレージを十分備えている Chromebook なら以下の設定は不要だと思う。たとえば ASUS CX34 シリーズなら十分なストレージ容量を持つ（これで税込8万円切るもんなー）。まぁ，私の場合は14インチという時点で対象外だが。

Go の環境設定については以下の拙文が参考になる。

Go のモジュール管理【バージョン 1.17 改訂版】

「Chromebook を導入する 2」で

$ ln -s /mnt/chromeos/removable/SD\ Card/linux ~/ws

てな感じに外部ストレージのディレクトリをシンボリックファイルで繋いだので， ~/.profile に以下の内容を追記してみた。

if [ -d "$HOME/ws/go" ] ; then
    export GOPATH="$HOME/ws/go"
    export GOCACHE="$GOPATH/go-build"
    export GOBIN="$GOPATH/bin"
    PATH="$GOBIN:$PATH"
fi

この設定が効いてる状態で go env コマンドの結果を見てみる。

go env

注目する変数は GOPATH, GOBIN, GOCACHE, GOCMODACHE あたり。これらの設定が外部ストレージを指示していれば問題ない。

外部ストレージのファイルモード

外部ストレージのファイルにファイルを置くと何故か実行権限 x が付いてしまう。しかも chmod コマンドで変更できないようだ。ちなみに chown コマンドも効かない。

軽くググってみたら以下の記事を見つけた。

【Chromebook/Linux】共有フォルダ「/mnt/chromeos」やchmodが「Operation not permitted」エラーになる現象についてのメモ

こちらは外部ストレージファイルを実行できないというものだが，私の環境を見ると /etc/mtab を見ると

9p /mnt/chromeos 9p rw,nosuid,nodev,relatime,access=any,msize=65560,trans=fd,rfd=18,wfd=18 0 0

となっていて noexec が外されているようだ。これによって /mnt/chromeos 以下の外部ストレージの全ファイルが実行可能ファイルになってしまうっぽい？

いろいろ追加で調べている中で、/mnt/chromeosをマウントする際に指定されていたファイルシステム「9P（Plan 9 Filesystem Protocol）」（/etc/mtab に記載されていたファイルシステム）について調べつつ、Chromium OSのissue trackerを確認したところ、どうやらこの9p（p9）を利用することと、chownが利用できないことに関連があるようでした（「by design」とあるので、不具合というよりそもそもの仕様として、というようなイメージ）。

【Chromebook/Linux】共有フォルダ「/mnt/chromeos」やchmodが「Operation not permitted」エラーになる現象についてのメモより

これはちょっと取り扱い注意かも。それにしても，なんで安全でない方に倒すかね。

念のため git にも以下の設定を加えておく。

$ git config --global core.filemode false
$ git config --global core.ignorecase false

これでうっかり実行可能ファイルとしてコミットしてしまうこともないだろう。ちなみにファイル名の大文字小文字も区別しないので core.ignorecase も false にしておく（これは外部ストレージのフォーマットのせいかな）。

ブックマーク

参考

【Amazon.co.jp限定】 ASUS Chromebook クロームブック Flip CX1 11.6インチ 2-in-1 タッチスクリーン日本語キーボード重量1.32kg トランスペアレントシルバー CX1102FKA-MK0037: ASUS (Release 2022-11-04); Personal Computers; B0BKKF7JHV (ASIN), 0195553939942 (EAN), 195553939942 (UPC); 評価

[Comment] ASUS 製 Chromebook。11.6インチディスプレイ，8GBメモリ，32GBストレージ。正直，ストレージはもう少し欲しかったがメモリ容量優先で選んだ。

reviewed by Spiegel on 2024-03-27 (powered by PA-APIv5)

CloudValley 0.6mm 超薄型ウェブカメラカバー、メタルカメラカバーカメラ目隠し MacBook air・ノートパソコン・iMac・デスクトップ・PC・MacBook Pro・iPad・iPhone 8/7/6用、プライバシーウェブカメラプロテクション【2本セット】ブラック: CloudValley; Personal Computers; B079MCPJGH (ASIN), 0654070887322 (EAN), 654070887322 (UPC); 評価

[Comment] ノートPCに見られるのが嫌なので目隠しした。

reviewed by Spiegel on 2024-03-30 (powered by PA-APIv5)

エレコムワイヤレスマウス Bluetooth Slint M-TM10BBBU/EC 薄型静音 4ボタンプレゼンモード機能付 Windows Mac Android iOS iPadOS FireOS対応ネイビーブルー: エレコム(ELECOM) (Release 2020-11-24); Personal Computers; B08LMYWKZD (ASIN), 4549550198189 (EAN); 評価

[Comment] 静音マウスを使いだしたら普通のマウスがカチカチ煩いと感じるようになってしまい，仕方ないので Bluetooth 無線マウスも静音マウスに替えた。単三電池一本で駆動するの助かる。

reviewed by Spiegel on 2024-04-13 (powered by PA-APIv5)

【サンディスク正規品】 SanDisk microSDカード 128GB UHS-I Class10 10年間限定保証Ultra SDSQUAB-128G-GH3MA 新パッケージ: SanDisk (Release 2023-09-29); Personal Computers; B0CH2X5LBX (ASIN), 0619659201579 (EAN), 619659201579 (UPC); 評価

[Comment] Chromebook の外部ストレージとして購入。

reviewed by Spiegel on 2024-03-29 (powered by PA-APIv5)

Anker PowerExpand+ 7-in-1 USB-C PD メディアハブ 85Wパススルー充電 Power Delivery USB-Cポート HDMI USB-Aポート: Anker; B07KJWYQJW (ASIN), 0848061003871 (EAN), 848061003871 (UPC); 評価

[Comment] 購入した Chromebook と周辺機器を繋ぐために購入。 USB-C は電源用（Power Delivery 対応）とデータ用の口がある。 HDMI の口もありモニタと繋ぐこともできる。 USB-DAC も繋がる。助かる。

reviewed by Spiegel on 2024-05-06 (powered by PA-APIv5)

Chromebook仕事術最速で業務に生かす基本＋活用ワザできるビジネスシリーズ: 株式会社インサイトイメージ (著); インプレス 2021-08-04 (Release 2021-08-04); Kindle版; B09BMPZ3BZ (ASIN); 評価

[Comment] Chromebook の操作・設定の基本部分について一通り網羅している感じ。参考になった。

reviewed by Spiegel on 2024-03-28 (powered by PA-APIv5)

スーパーユーザーなら知っておくべきLinuxシステムの仕組み: Brian Ward (著), 柴田芳樹 (翻訳); インプレス 2022-03-08 (Release 2022-03-08); 単行本（ソフトカバー）; 4295013498 (ASIN), 9784295013495 (EAN), 4295013498 (ISBN); 評価

[Comment] 版元で PDF 版が買える。セキュリティ・エリアにも持ち込めるよう紙の本を買ったのだが，オンライン読書会が始まったので PDF 版も購入。Linux システムの扱い方に関するリファレンス本として優れている。最初に軽く流し読みして，必要に応じて該当項目を拾い読みしていけばいいだろう。

reviewed by Spiegel on 2023-02-11 (powered by PA-APIv5)

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

[Comment] 著者のひとりは（あの「バイブル」とも呼ばれる）通称 “K&R” の K のほうである。この本は Go 言語の教科書と言ってもいいだろう。と思ったら絶版状態らしい（2025-01 現在）。復刊を望む！

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

改訂2版わかばちゃんと学ぶ Git使い方入門: 湊川あい (著), DQNEO (著); シーアンドアール研究所 2021-06-12 (Release 2021-06-12); Kindle版; B096TH798S (ASIN)

[Comment] この機会に読んでみようか...

reviewed by Spiegel on 2021-07-07 (powered by PA-APIv5)

PuTTY 0.81 がリリースされた【セキュリティ・アップデート】

2024-04-16T11:42:46+00:00

Windows 用の SSH クライアントソフトである PuTTY について ECDSA 署名に絡んで秘密鍵が漏洩するリスクがあるらしい。

PuTTY vulnerability vuln-p521-bias

Every version of the PuTTY tools from 0.68 to 0.80 inclusive has a critical vulnerability in the code that generates signatures from ECDSA private keys which use the NIST P521 curve. (PuTTY, or Pageant, generates a signature from a key when using it to authenticate you to an SSH server.)

via PuTTY vulnerability vuln-p521-bias

上の引用の通り，対象となるのは PuTTY 0,68 から 0.80 までのバージョン。最新の 0.81 で修正されている。なお FileZilla, WinSCP, TortoiseGit, TortoiseSVN といったアプリケーションには PuTTY がバンドルされていることがあるので，これらのアップデート情報にも注意すること。 PuTTY は年に1,2回くらいの頻度でセキュリティ・アップデートが発生するので（ちゃんとメンテされてる証拠），バンドル品は使わないほうがいいと思うなぁ。

日本語カスタム版は PuTTY-ranvis がおすすめ。こちらも 0.81 がリリースされた。

PuTTYrv (PuTTY-ranvis) - Ranvis software

厄介なことに今回はアプリケーションを更新しただけではダメで，認証鍵を新しいものに差し替える必要があるかも知れない。ただし対象となるのは NIST P-521 楕円曲線を使った ECDSA 鍵のみ。それ以外はとりあえずセーフということで（笑）

今回の脆弱性は ECDSA 署名時に使用する nonce を生成するための乱数生成に起因するものらしい。以前から DSA/ECDSA の実装上のネックとなっているのがこの乱数生成部分で，ここの実装をサボると秘密鍵の漏洩に繋がることが知られている。まぁ，今回はサボったわけではないだろうが，何らかの不備があったということだろう。

というわけで，新たに認証鍵を作成するのなら EdDSA (ed25519 曲線) 鍵にすることをお勧めする。 EdDSA は2023年にリリースされた NIST FIPS 186-5 に標準として正式に組み込まれたので，仕事用でも大手を振って使ってよい。

CVE-2024-31497

In PuTTY 0.68 through 0.80 before 0.81, biased ECDSA nonce generation allows an attacker to recover a user’s NIST P-521 secret key via a quick attack in approximately 60 signatures. This is especially important in a scenario where an adversary is able to read messages signed by PuTTY or Pageant. The required set of signed messages may be publicly readable because they are stored in a public Git service that supports use of SSH for commit signing, and the signatures were made by Pageant through an agent-forwarding mechanism. In other words, an adversary may already have enough signature information to compromise a victim’s private key, even if there is no further use of vulnerable PuTTY versions. After a key compromise, an adversary may be able to conduct supply-chain attacks on software maintained in Git. A second, independent scenario is that the adversary is an operator of an SSH server to which the victim authenticates (for remote login or file copy), even though this server is not fully trusted by the victim, and the victim uses the same private key for SSH connections to other services operated by other entities. Here, the rogue server operator (who would otherwise have no way to determine the victim’s private key) can derive the victim’s private key, and then use it for unauthorized access to those other services. If the other services include Git services, then again it may be possible to conduct supply-chain attacks on software maintained in Git. This also affects, for example, FileZilla before 3.67.0, WinSCP before 6.3.3, TortoiseGit before 2.15.0.1, and TortoiseSVN through 1.14.6.

via CVE-2024-31497

以下未稿。

ブックマーク

参考

SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys (IT Mastery Book 12) (English Edition): Lucas, Michael W (著); Tilted Windmill Press 2018-02-06 (Release 2018-02-06); Kindle版; B079NL1L9K (ASIN); 評価

[Comment] タイトルを見て “SSH Mystery” と空目したアホは私です。洋書だけど英語不得手の私にも読める内容。

reviewed by Spiegel on 2021-01-11 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

Chromebook を導入する 3 — GnuPG & OpenSSH

2024-04-06T13:07:26+00:00

前回に続いて Linux サブシステムのセットアップを行う。なお，ターミナルはランチャーから起動できる。

ランチャー

ターミナルを起動すると以下の表示になってるので “penguin” を押下する。

ターミナル

GnuPG で鍵ペアを生成してみる

ターミナルが起動したところで Linux サブシステムに入ってる（であろう） GnuPG を確認する。

GnuPG (1)

2.2 系かよ！ Ubuntu の GnuPG のバージョンが上がらないと思ったら Debian が元凶なのか orz

ま，まぁ，入ってはいるようなのでよしとしよう。 gpg-agent のサービスはどうなってるかな。

GnuPG (2)

うんうん。サービスもちゃんと上がってるね。では，さっそく鍵ペアを生成してみよう。

GnuPG (3)

とりあえず署名専用の鍵ペアを作っている。このあと必要な項目を入力してパスフレーズを設定するのだが

GnuPG (4)

おぅふ。これは pinentry-curses かな？ OpenPGP 鍵の生成や操作については以下の拙文を参考にどうぞ。

なんでも文章で残しておくものである。

GnuPG で OpenSSH 認証鍵を作成し ssh で GitHub に繋いでみる

GnuPG で OpenSSH 認証鍵を作成する手順については以下の拙文を参照のこと。

OpenSSH の認証鍵を GunPG で作成・管理する

上記記事にない情報としては，環境変数 SSH_AUTH_SOCK および GPG_TTY の扱いがある。まず，以下のように環境設定を設定する（~/.bashrc 等に書いておくとよい）。

export SSH_AUTH_SOCK="$(gpgconf --list-dirs agent-ssh-socket)"
export GPG_TTY=$(tty)

さらに ssh で pinentry-curses を呼び出せるように ~/.ssh/config ファイルに以下の記述を追加する。

Match host * exec "gpg-connect-agent UPDATESTARTUPTTY /bye"

~/.ssh/config ファイルのこの記述と GPG_TTY 環境変数はセットで設定しないと上手く動かないらしい。

動作確認をしてみよう。

gpg --export-ssh-key <keyID> または ssh-add -L コマンドで出力した公開鍵を GitHub の settings → SSH and GPG keys で辿れる設定画面に登録する。これで

$ ssh -T git@github.com

などと入力し接続テストができる。

GitHub へ ssh 接続テスト

ログイン処理の途中でパスフレーズの入力がある。

パスフレーズの入力

うんうん。問題なく動作しているな。今回はここまで。次回は git かな。

【2024-05-06 追記】 pinentry-gnome3 を導入する

さすがに pinentry-curses のままではアレなので pinentry-gnome3 に換装することを考える。その前に update-alternatives コマンドで現在の pinentry の設定を見てみる。

$ sudo update-alternatives --config pinentry

と唱えればよい。

update-alternatives (1)

ふむむ。 pinentry-curses だけが入ってる状態やね。ほんじゃあ APT で pinentry-gnome3 を入れてみるか。

install pinentry-gnome3 (1)

うん。大丈夫そうだな。このまま y キー押下で続行する。

install pinentry-gnome3 (2)

へー。 ssh-agent でもこいつを使うのか？まぁ，今回は関係ないけど（多分）

もう一度 update-alternatives で状態を確認してみよう。

update-alternatives (2)

よしよし。 pinentry-gnome3 が自動・優先で設定されてるな。これで前節のように

$ ssh -T git@github.com

などと接続テストを行うと，めでたく以下のプロンプトが表示された。

pinentry-gnome3

おー。ちゃんと日本語で表示されてる¹。偉い偉い。

ここまでできれば前節で説明した環境変数の

export GPG_TTY=$(tty)

や ~/.ssh/config ファイルの

Match host * exec "gpg-connect-agent UPDATESTARTUPTTY /bye"

の記述は不要になる（環境変数 SSH_AUTH_SOCK の指定は必要）。

ブックマーク

参考

【Amazon.co.jp限定】 ASUS Chromebook クロームブック Flip CX1 11.6インチ 2-in-1 タッチスクリーン日本語キーボード重量1.32kg トランスペアレントシルバー CX1102FKA-MK0037: ASUS (Release 2022-11-04); Personal Computers; B0BKKF7JHV (ASIN), 0195553939942 (EAN), 195553939942 (UPC); 評価

[Comment] ASUS 製 Chromebook。11.6インチディスプレイ，8GBメモリ，32GBストレージ。正直，ストレージはもう少し欲しかったがメモリ容量優先で選んだ。

reviewed by Spiegel on 2024-03-27 (powered by PA-APIv5)

CloudValley 0.6mm 超薄型ウェブカメラカバー、メタルカメラカバーカメラ目隠し MacBook air・ノートパソコン・iMac・デスクトップ・PC・MacBook Pro・iPad・iPhone 8/7/6用、プライバシーウェブカメラプロテクション【2本セット】ブラック: CloudValley; Personal Computers; B079MCPJGH (ASIN), 0654070887322 (EAN), 654070887322 (UPC); 評価

[Comment] ノートPCに見られるのが嫌なので目隠しした。

reviewed by Spiegel on 2024-03-30 (powered by PA-APIv5)

エレコムワイヤレスマウス Bluetooth Slint M-TM10BBBU/EC 薄型静音 4ボタンプレゼンモード機能付 Windows Mac Android iOS iPadOS FireOS対応ネイビーブルー: エレコム(ELECOM) (Release 2020-11-24); Personal Computers; B08LMYWKZD (ASIN), 4549550198189 (EAN); 評価

reviewed by Spiegel on 2024-04-13 (powered by PA-APIv5)

Chromebook仕事術最速で業務に生かす基本＋活用ワザできるビジネスシリーズ: 株式会社インサイトイメージ (著); インプレス 2021-08-04 (Release 2021-08-04); Kindle版; B09BMPZ3BZ (ASIN); 評価

[Comment] Chromebook の操作・設定の基本部分について一通り網羅している感じ。参考になった。

reviewed by Spiegel on 2024-03-28 (powered by PA-APIv5)

スーパーユーザーなら知っておくべきLinuxシステムの仕組み: Brian Ward (著), 柴田芳樹 (翻訳); インプレス 2022-03-08 (Release 2022-03-08); 単行本（ソフトカバー）; 4295013498 (ASIN), 9784295013495 (EAN), 4295013498 (ISBN); 評価

reviewed by Spiegel on 2023-02-11 (powered by PA-APIv5)

SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys (IT Mastery Book 12) (English Edition): Lucas, Michael W (著); Tilted Windmill Press 2018-02-06 (Release 2018-02-06); Kindle版; B079NL1L9K (ASIN); 評価

[Comment] タイトルを見て “SSH Mystery” と空目したアホは私です。洋書だけど英語不得手の私にも読める内容。

reviewed by Spiegel on 2021-01-11 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

ネコカブリーナ: 猫又おかゆ (メインアーティスト); cover corp. 2024-02-23 (Release 2024-02-23); MP3 ダウンロード; B0CW35PBT6 (ASIN); 評価

[Comment] 可愛らしくて優しくてちょっと泣きそうになる曲。 mora で高解像度版が買える。

reviewed by Spiegel on 2024-04-06 (powered by PA-APIv5)

Chromebook の Linux サブシステムを日本語化するにはひとつ前の記事の「日本語化」の節を参照のこと。 ↩︎

sshql — SSH 越しに RDBMS にアクセスする

2022-09-30T12:17:13+00:00

拙作 github.com/goark/sshql は SSH 経由で MySQL や PostgreSQL といった RDBMS に接続するための Go パッケージである。

GitHub - goark/sshql: Go SQL drivers over SSH

github.com/goark/sshql パッケージでは以下の Dialer 型の構造体を用意し，これを使って SSH に接続する¹。

// Dialer is authentication provider information.
type Dialer struct {
    Hostname      string `json:"hostname"`
    Port          int    `json:"port"`
    Username      string `json:"username"`
    Password      string `json:"password"`
    PrivateKey    string `json:"privateKey"`
    IgnoreHostKey bool   `json:"IgnoreHostKey"`
    client        *ssh.Client
}

パスワード認証の場合は Username と Password にそれぞれ値をセットする。 PrivateKey に認証用の秘密鍵へのパスを指定する場合は Password に秘密鍵のパスフレーズをセットする。また ssh-agent 等を使って $SSH_AUTH_SOCK ソケットから秘密鍵を取得できる場合は，こちらを優先するようになっている。

IgnoreHostKey に true をセットするとホスト認証を無視するようになっているが，セキュリティ上お勧めできないのでご注意を。ホスト認証は $HOME/.ssh/known_hosts ファイルにホスト鍵が登録されていることが前提で， known_hosts ファイルがない，または known_hosts にホスト鍵がない場合は

$ go run main.go
ssh: handshake failed: knownhosts: key is unknown

という感じにエラーになる。

では，これを使って実際にコードを書いてみる。

github.com/lib/pq + github.com/goark/sshql

まずは PostgreSQL 用ドライバ github.com/lib/pq と github.com/goark/sshql を組み合わせるところから。こんな感じに書ける。

package main

import (
    "database/sql"
    "fmt"
    "os"

    "github.com/goark/sshql"
    "github.com/goark/sshql/pgdrv"
)

func main() {
    dialer := &sshql.Dialer{
        Hostname:   "sshserver",
        Port:       22,
        Username:   "remoteuser",
        Password:   "passphraseforauthkey",
        PrivateKey: "/home/username/.ssh/id_eddsa",
    }
    pgdrv.New(dialer).Register("postgres+ssh")

    db, err := sql.Open("postgres+ssh", "postgres://dbuser:dbpassword@localhost:5432/example?sslmode=disable")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    defer dialer.Close()
    defer db.Close()

    rows, err := db.Query("SELECT id, name FROM example ORDER BY id")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    for rows.Next() {
        var id int64
        var name string
        if err := rows.Scan(&id, &name); err != nil {
            fmt.Fprintln(os.Stderr, err)
            break
        }
        fmt.Printf("ID: %d  Name: %s\n", id, name)
    }
    rows.Close()
}

"postgres+ssh" としてドライバを登録し（名前は何でもOK），この名前を sql.Open() 関数で指定しているのがポイントである。あとは database/sql の機能をそのまま使うことができる。

github.com/goark/sshql/pgdrv パッケージ内部で github.com/lib/pq パッケージを呼び出しているため

import _ "github.com/lib/pq"

のようなインポートは不要である。

github.com/jackc/pgx + github.com/goark/sshql

github.com/jackc/pgx は github.com/lib/pq の後継とも言えるパッケージである。標準 database/sql パッケージと組み合わせて使うことも可能だが，自身が database/sql 互換のインタフェースを持っていて更に独自の機能も搭載している。 PostgreSQL にアクセスするなら，個人的にはこちらのほうがお勧めである。

拙作 github.com/goark/sshql と組み合わせて使うにはちょっと変則的な初期化コードを書く。こんな感じ。

package main

import (
    "context"
    "fmt"
    "os"

    "github.com/goark/sshql"
    "github.com/jackc/pgx/v4/pgxpool"
)

func main() {
    dialer := &sshql.Dialer{
        Hostname:   "sshserver",
        Port:       22,
        Username:   "remoteuser",
        Password:   "passphraseforauthkey",
        PrivateKey: "/home/username/.ssh/id_eddsa",
    }

    cfg, err := pgxpool.ParseConfig("postgres://dbuser:dbpassword@localhost:5432/example?sslmode=disable")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    cfg.ConnConfig.DialFunc = dialer.DialContext

    if err := dialer.Connect(); err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    defer dialer.Close()

    pool, err := pgxpool.ConnectConfig(context.TODO(), cfg)
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    defer pool.Close()

    rows, err := pool.Query(context.TODO(), "SELECT id, name FROM example ORDER BY id")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    rows.Close()

    for rows.Next() {
        var id int64
        var name string
        if err := rows.Scan(&id, &name); err != nil {
            fmt.Fprintln(os.Stderr, err)
            break
        }
        fmt.Printf("ID: %d  Name: %s\n", id, name)
    }
}

まず pgx.ConnConfig を含む pgx/pgxpool.Config 構造体を作って，そこに dialer.DialContext() メソッドを登録するイメージ。 pgx ドライバーをオープンする前に dialer.Connect() つまり SSH 接続を明示的に記述する必要がある。

一見まどろこしく見えるが， pgx/pgxpool.Config 構造体を使って logger 登録を含むカスタマイズができるので，実用上はそれほど迂遠なコードではなかったりする。接続ごとにインスタンスを作れるので，グローバルに名前をつけてドライバーを登録するより合理的かもしれない。

github.com/go-sql-driver/mysql + github.com/goark/sshql

MySQL 用ドライバ github.com/go-sql-driver/mysql と github.com/goark/sshql との組み合わせはこんな感じ。

package main

import (
    "database/sql"
    "fmt"
    "os"

    "github.com/goark/sshql"
    "github.com/goark/sshql/mysqldrv"
)

func main() {
    dialer := &sshql.Dialer{
        Hostname:   "sshserver",
        Port:       22,
        Username:   "remoteuser",
        Password:   "passphraseforauthkey",
        PrivateKey: "/home/username/.ssh/id_eddsa",
    }
    mysqldrv.New(dialer).RegisterDial("ssh+tcp")

    db, err := sql.Open("mysql", "dbuser:dbpassword@ssh+tcp(localhost:3306)/dbname")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    defer dialer.Close()
    defer db.Close()

    rows, err := db.Query("SELECT id, name FROM example ORDER BY id")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    for rows.Next() {
        var id int64
        var name string
        if err := rows.Scan(&id, &name); err != nil {
            fmt.Fprintln(os.Stderr, err)
            break
        }
        fmt.Printf("ID: %d  Name: %s\n", id, name)
    }
    rows.Close()
}

github.com/lib/pq のときとは違いドライバー名ではなくプロトコル名（通常は "tcp" など）として登録し DSN に登録したプロトコル名（ここでは ssh+tcp）を含める。あとは database/sql の機能をそのまま使うことができる。

github.com/goark/sshql/mysqldrv パッケージ内部で github.com/go-sql-driver/mysql パッケージを呼び出しているため

import _ "github.com/go-sql-driver/mysql"

のようなインポートは不要である。

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

今回のパッケージは github.com/mattn/pqssh の事実上の fork である。同パッケージに敬意を表して拙作の方も MIT ライセンスで提供している。感謝！ ↩︎

SSH 越しに DB サーバにアクセスする

2022-09-10T09:04:56+00:00

PostgreSQL や MySQL などの RDBMS サービスにアクセスするために Go では標準で database/sql パッケージを用意している（実際にサービスにアクセスするためには github.com/lib/pq や github.com/go-sql-driver/mysql といったドライバ・パッケージを使う必要がある）。たとえばこんな感じ。

db, err := sql.Open("postgres", "postgres://dbuser:dbpassword@dbserver:5432/example?sslmode=require")

ただし，これはクライアントからサービスに直結する場合で，たとえば VPS 内の RDBMS サービスに SSH 経由でアクセスする必要がある場合は少し工夫が必要である。ありがたいことに PostgreSQL サービスに SSH 経由でアクセスするためのパッケージを mattn さんが公開して下さっている。

ありがたや 🙇

で，実は MySQL サービスに SSH 経由でアクセスする必要ができたので，上のパッケージを参考に自作してみた。

goark/sshql: Go SQL drivers over SSH

このパッケージを使ってこんな感じに書ける。

package main

import (
    "database/sql"
    "fmt"
    "os"

    "github.com/goark/sshql"
    "github.com/goark/sshql/mysqldrv"
)

func main() {
    dialer := &sshql.Dialer{
        Hostname:   "sshserver",
        Port:       22,
        Username:   "remoteuser",
        Password:   "passphraseforauthkey",
        PrivateKey: "/home/username/.ssh/id_eddsa",
    }
    mysqldrv.New(dialer).RegisterDial("ssh+tcp")

    db, err := sql.Open("mysql", "dbuser:dbpassword@ssh+tcp(localhost:3306)/dbname")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    defer dialer.Close()
    defer db.Close()

    rows, err := db.Query("SELECT id, name FROM example ORDER BY id")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    for rows.Next() {
        var id int64
        var name string
        if err := rows.Scan(&id, &name); err != nil {
            fmt.Fprintln(os.Stderr, err)
            break
        }
        fmt.Printf("ID: %d  Name: %s\n", id, name)
    }
    rows.Close()
}

MySQL の場合 SSH でアクセスするための Dialer を登録して，登録文字列を DSN に含める必要がある。

さらに，このパッケージを使った PostgreSQL への SSH 越しのアクセスはこんな感じに書ける。

package main

import (
    "database/sql"
    "fmt"
    "os"

    "github.com/goark/sshql"
    "github.com/goark/sshql/pgdrv"
)

func main() {
    dialer := &sshql.Dialer{
        Hostname:   "sshserver",
        Port:       22,
        Username:   "remoteuser",
        Password:   "passphraseforauthkey",
        PrivateKey: "/home/username/.ssh/id_eddsa",
    }
    pgdrv.New(dialer).Register("postgres+ssh")

    db, err := sql.Open("postgres+ssh", "postgres://dbuser:dbpassword@localhost:5432/example?sslmode=disable")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    defer dialer.Close()
    defer db.Close()

    rows, err := db.Query("SELECT id, name FROM example ORDER BY id")
    if err != nil {
        fmt.Fprintln(os.Stderr, err)
        return
    }
    for rows.Next() {
        var id int64
        var name string
        if err := rows.Scan(&id, &name); err != nil {
            fmt.Fprintln(os.Stderr, err)
            break
        }
        fmt.Printf("ID: %d  Name: %s\n", id, name)
    }
    rows.Close()
}

やっぱ sql.Open() 関数の第1引数で専用ドライバを指定するほうがシンプルだよなぁ。 DSN 文字列をいじらなくて済むし。

【2022-09-30 追記】

github.com/jackc/pgx パッケージと組み合わせて使えるようにした。詳しくは以下の記事を参考のこと。

sshql — SSH 越しに RDBMS にアクセスする

InsecureIgnoreHostKey() 関数で叱られる

mattn さんの github.com/mattn/pqssh パッケージの中で

sshConfig := &ssh.ClientConfig{
    User:            d.Username,
    Auth:            []ssh.AuthMethod{},
    HostKeyCallback: ssh.InsecureIgnoreHostKey(),
}

という記述があり，最初はそのまま真似してたのだが，例によって lint に「あかんがな！」と叱られた。

HostKeyCallback 項目は SSH ログイン時のホスト認証の動作をするもので， ssh.InsecureIgnoreHostKey() は何もせず nil を返却するだけの関数を渡している。

// InsecureIgnoreHostKey returns a function that can be used for
// ClientConfig.HostKeyCallback to accept any host key. It should
// not be used for production code.
func InsecureIgnoreHostKey() HostKeyCallback {
    return func(hostname string, remote net.Addr, key PublicKey) error {
        return nil
    }
}

こりゃあ，確かにあかんわ（笑）

最終的に今回の github.com/goark/sshql パッケージでは一応ホスト認証を行っているが ~/.ssh/known_hosts ファイルに登録されていないホストや登録されている鍵が異なる場合は問答無用でエラーを返すようにした。

$ go run sample.go 
ssh: handshake failed: knownhosts: key is unknown

まぁ，こういうパッケージはバッチ処理とかにしか使わないだろうし，ええじゃろう。

なお sshql.Dialer 構造体は

// Dialer is authentication provider information.
type Dialer struct {
    Hostname      string `json:"hostname"`
    Port          int    `json:"port"`
    Username      string `json:"username"`
    Password      string `json:"password"`
    PrivateKey    string `json:"privateKey"`
    IgnoreHostKey bool   `json:"IgnoreHostKey"`
    client        *ssh.Client
}

と定義しているけど IgnoreHostKey 要素に true をセットするとホスト認証をすっ飛ばしてくれる。

ブックマーク

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

Go言語による分散サービス ―信頼性、拡張性、保守性の高いシステムの構築: Travis Jeffery (著), 柴田芳樹 (翻訳); オライリージャパン 2022-08-03; 単行本（ソフトカバー）; 4873119979 (ASIN), 9784873119977 (EAN), 4873119979 (ISBN); 評価

[Comment] 版元でデジタル版を購入。読書会の課題図書。ハンズオンぽい構成でコードがたくさん書かれているのがよい。

reviewed by Spiegel on 2022-08-03 (powered by PA-APIv5)

デベロッパーゴースーパーゴラン Tシャツ: Geek Go Super Golang Tees; ウェア&シューズ; B09C2XBC2F (ASIN); 評価

[Comment] ついカッとなってポチった。反省はしない

reviewed by Spiegel on 2022-04-10 (powered by PA-APIv5)

Ubuntu 22.04 LTS へのアップグレード

2022-05-06T09:07:48+00:00

Ubuntu が「22.04 LTS にアップグレードせんのん？（← 超意訳）」と煩いので GW で余裕のある間にアップグレードすることにした。今回は特に（少なくとも最近の機械では）日本語周りで不具合の話も聞かなかったし。

Ubuntu 22.04 リリースノート

今回は特に大きな問題はなし。

日本語入力周りは問題なく動いている。 Ubuntu コミュニティのご尽力に感謝
21.10 から Firefox は Snap 版になっているのに何故か言語パッケージが APT で提供されているというチグハグな状態だったが，今回で統一された？
Thunderbird は相変わらず GnuPG の鍵束を認識してくれない。そろそろ捨てようか
LibreOffice は 7.3 系。 OpenPGP 鍵で暗号化したファイルもちゃんと開けるし，問題ないだろう。 Snap 版は相変わらず評判が悪いようだ（笑）
KeePassXC は既に jammy リポジトリがある。依存ライブラリのバージョンが違うらしい
pgAdmin4 は jammy リポジトリがまだ用意されてない模様。こちらはしばらく様子見か
Node.js は NodeSource で v18 系をインストールしてみた。今のところは問題なし。なにかあれば v16 (LTS) に戻すつもり

いつものように GnuPG が古い

$ gpg --version
gpg (GnuPG) 2.2.27
libgcrypt 1.9.4
Copyright (C) 2021 Free Software Foundation, Inc.
License GNU GPL-3.0-or-later <https://gnu.org/licenses/gpl.html>
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Home: /home/username/.gnupg
サポートしているアルゴリズム:
公開鍵: RSA, ELG, DSA, ECDH, ECDSA, EDDSA
暗号方式: IDEA, 3DES, CAST5, BLOWFISH, AES, AES192, AES256,
      TWOFISH, CAMELLIA128, CAMELLIA192, CAMELLIA256
ハッシュ: SHA1, RIPEMD160, SHA256, SHA384, SHA512, SHA224
圧縮: 無圧縮, ZIP, ZLIB, BZIP2

まぁ v2.3 系でないのはしょうがないにしても，せめて今の LTS 最新版（v2.2.34）にしてくれよ orz

OpenSSH と OpenSSL

$ ssh -V
OpenSSH_8.9p1 Ubuntu-3, OpenSSL 3.0.2 15 Mar 2022

OpenSSL は v3.0.3 のセキュリティ・アップデートに対応したバックポート・パッチが出ているようだ。相変わらず分かりにくい。普通にバージョンを上げてくれんもんかねぇ。

ちなみに GnuPG の gpg-agent との連携は問題なかった。

Docker と apt-key

これに関しては記事を分けた。後半へ続く（笑）

ブックマーク

golang.org/x/crypto/ssh パッケージをアップデートしましょう【セキュリティ・アップデート】

2022-03-19T05:17:32+00:00

golang.org/x/crypto/ssh パッケージをアップデートするようアナウンスが出ている。

An update of golang.org/x/crypto/ssh might be necessary

ひとつは SSH 認証時の問題：

Version v0.0.0-20220315160706-3147a52a75dd of golang.org/x/crypto/ssh implements client authentication support for signature algorithms based on SHA-2 for use with existing RSA keys.

Previously, a client would fail to authenticate with RSA keys to servers that reject signature algorithms based on SHA-1. This includes OpenSSH 8.8 by default and—starting today March 15, 2022—github.com for recently uploaded keys.

via An update of golang.org/x/crypto/ssh might be necessary

もうひとつは golang.org/x/crypto/ssh パッケージを使って SSH サービスを構成する場合の脆弱性で CVE-2022-27191 が割り当てられている。

Version v0.0.0-20220314234659-1baeb1ce4c0b (included in the version above) also fixes a potential security issue where an attacker could cause a crash in a golang.org/x/crypto/ssh server under these conditions:

The server has been configured by passing a Signer to ServerConfig.AddHostKey.

The Signer passed to AddHostKey does not also implement AlgorithmSigner.

The Signer passed to AddHostKey does return a key of type “ssh-rsa” from its PublicKey method.

Servers that only use Signer implementations provided by the ssh package are unaffected.

via An update of golang.org/x/crypto/ssh might be necessary

golang.org/x/crypto/ssh パッケージを使って SSH サービスを利用している方はアップデートしましょう。

ブックマーク

さようなら SHA-1

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。

reviewed by Spiegel on 2015-09-20 (powered by PA-APIv5)

Go 1.17.4 のリリースと ssh パッケージのセキュリティ・アップデート

2021-12-04T03:02:12+00:00

Go 1.17.4 がリリースされた。

Go 1.17.4 and Go 1.16.11 are released

セキュリティ・アップデートはなし。

go1.17.4 (released 2021-12-02) includes fixes to the compiler, linker, runtime, and the go/types, net/http, and time packages. See the Go 1.17.4 milestone on our issue tracker for details.

via Release History - The Go Programming Language

例によって Ubuntu の APT で管理している Go コンパイラは古いので，ダウンロードページからバイナリ（go1.17.4.linux-amd64.tar.gz）を取ってきてインストールすることを強く推奨する。以下は完全手動での作業例。

$ cd /usr/local/src
$ sudo curl -L "https://go.dev/dl/go1.17.4.linux-amd64.tar.gz" -O
$ cd ..
$ sudo unlink go # 以前の Go が入っている場合
$ sudo tar xvf src/go1.17.4.linux-amd64.tar.gz
$ sudo mv go go1.17.4
$ sudo ln -s go1.17.4 go
$ go version # /usr/local/go/bin にパスが通っている場合
go version go1.17.4 linux/amd64

そうそう。 Go のサイトが golang.org から go.dev に完全移行したみたい。今のところは旧サイトから適切にリダイレクトしてくれるけど，ブログのリンクとかボチボチ直さんといかんかねぇ。

ssh パッケージのセキュリティ・アップデート

Go コンパイラのアップデートに先立ち golang.org/x/crypto/ssh パッケージについてセキュリティ・アップデートのアナウンスが出ている。

[security] Vulnerability in golang.org/x/crypto/ssh

CVE-2021-43565

あー。 panic で落ちちゃうのか。そりゃアカンね。

Version v0.0.0-20211202192323-5770296d904e of golang.org/x/crypto fixes a vulnerability in the golang.org/x/crypto/ssh package which allowed unauthenticated clients to cause a panic in SSH servers.

via Vulnerability in golang.org/x/crypto/ssh

（以下未稿）

アップデートは…

アップデートは計画的に。

参考図書

プログラミング言語Go (ADDISON-WESLEY PROFESSIONAL COMPUTING SERIES): Alan A.A. Donovan (著), Brian W. Kernighan (著), 柴田芳樹 (翻訳); 丸善出版 2016-06-20; 単行本（ソフトカバー）; 4621300253 (ASIN), 9784621300251 (EAN), 4621300253 (ISBN); 評価

reviewed by Spiegel on 2016-07-13 (powered by PA-APIv5)

Eclipse の SSH アクセスで失敗した話

2021-08-30T11:55:10+00:00

トラブル対応で自前の環境に Eclipse を入れて GitHub リポジトリにアクセスする羽目になった。 GitHub リポジトリへのアクセスには HTTPS と SSH の2通りある。このうち HTTPS のほうはアカウントのパスワードが使えなくなり，代替手段として personal access token を取得する必要がある¹。

個人アクセストークンを使用する - GitHub Docs

まぁ personal access token の話はこれくらいにして，本題は SSH 接続のほう。ちなみに今回の構成は以下の通り。

OS : Windows 10
Eclipse : Pleiades All in One 2021-06 リリース版

Eclipse で Git および SSH をドライブしてるのは EGit と JSch だそうだが，ユーザからこれが見えることはない。「自前で構築している環境（Git for Windows と PuTTY）は使えないんだろうなぁ。鍵を作るところから始めるか」とため息をつきつつ，以下のページを参考に（感謝！）作業を始めたのだが

Eclipseでgit操作(GitHubからcloneしてpushまで/ssh接続) | ITSakura

最初の1フィートで驚愕してしまった。

いやいやいや。 DSA か RSA の1024ビット鍵しか作れんのかい！まさか世の Eclipse ユーザはみんな1024ビット鍵で SSH にアクセスしてるの？アカンやろ。アカンよね！？

首を捻りながらも設定を済ませ，いざ clone しようとしたら今度は No supported authentication methods available とか言ってくさる。

ちょっと何言ってるか分からない…

周囲の人たちは問題なくアクセスできてるみたいなので私の環境の問題だと思うが，マジで分からない。これのせいで半日近く作業が止まってしまったよ。で，さんざん悩んだ挙句に気が付いた。これってひょっとして plink で SSH アクセスしようとしている？

念のために説明すると plink は Windows 用の SSH クライアント兼ターミナル・エミュレータである PuTTY が他ツールとの連携用に提供している SSH 接続ツールだ。 Git がインストールされている環境で

set GIT_SSH=C:\Program Files\PuTTY\plink.exe

とか環境設定しておけば OpenSSH ではなくPuTTY/plink で接続しようとする。どうやら Eclipse はこれを認識しているのかな？

となると話は早い。ぶっちゃけ Git for Windows & PuTTY で既に環境が出来ていれば Eclipse 側の SSH 設定は不要ということだ。というわけでめでたく GitHub リポジトリに SSH でアクセスできた。ようやくトラブル対応できる。 RSA-1024 とか玩具の南京錠のごとき鍵を作る必要もなく，既に運用している EdDSA 鍵で問題なし。上のスナップショットで作った鍵はとっとと捨てたよ（笑）

Eclipse の git リポジトリ操作も見せてもらったが面倒臭すぎてまともに運用できる気がしない。いや，これ，マジで VS Code を啓蒙しないとダメかしらん。

ブックマーク

参考図書

Spring Boot 2 入門: 基礎から実演まで: 原田けいと (著), 竹田甘地 (著), Robert Segawa (著); 2020-05-22 (Release 2020-05-22); Kindle版; B0893LQ5KY (ASIN); 評価

[Comment] Spring Boot を勉強することになって急遽買った本。めっさ分かりやすかった。 PDF 版が欲しいくらい（笑） Spring Boot 3.2 対応にアップデートされていた。素敵！

reviewed by Spiegel on 2024-03-20 (powered by PA-APIv5)

Effective Java 第3版: Joshua Bloch (著), 柴田芳樹 (翻訳); 丸善出版 2018-10-30; 単行本（ソフトカバー）; 4621303252 (ASIN), 9784621303252 (EAN), 4621303252 (ISBN); 評価

[Comment] 再勉強中。 Kindle 版のほうがちょっと安いが，勤務先でも使いたかったので紙の本にした。

reviewed by Spiegel on 2021-03-17 (powered by PA-APIv5)

GitHub Docs の内容は少し古いみたいで，Settings の構成がちょっと違う。 Settings > Developer settings > Personal access tokens の順に辿っていけばよい。ちなみに personal access token の Expiration を無期限に設定すると GitHub が物凄い勢いで警告を出してくる（笑） ↩︎

OpenSSH 8.5 のリリース【セキュリティ・アップデート】

2021-03-11T10:11:29+00:00

先週の話で恐縮だが， 2021-03-03 にリリースされた OpenSSH 8.5 で CVE-2021-28041 の脆弱性の改修がされていたらしい。

ssh-agent in OpenSSH before 8.5 has a double free that may be relevant in a few less-common scenarios, such as unconstrained agent-socket access on a legacy operating system, or the forwarding of an agent to an attacker-controlled host.

via NVD - CVE-2021-28041

ssh-agent のソケット周りとかヤバいぢゃん。

CVSSv3 評価は以下の通り。

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
深刻度: 緊急 (Score: 9.8)

基本評価基準	評価値
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
必要な特権レベル	不要
ユーザ関与レベル	不要
スコープ	変更なし
機密性への影響	高
完全性への影響	高
可用性への影響	高

実は Ubuntu で，これを修正したらしい OpenSSH 8.3 バックポート・パッチが出てたので気付いた次第。

USN-4762-1: OpenSSH vulnerability | Ubuntu security notices | Ubuntu

まぁ，アップデートは計画的に，ということで。

参考図書

SSH Mastery: OpenSSH, PuTTY, Tunnels and Keys (IT Mastery Book 12) (English Edition): Lucas, Michael W (著); Tilted Windmill Press 2018-02-06 (Release 2018-02-06); Kindle版; B079NL1L9K (ASIN); 評価

[Comment] タイトルを見て “SSH Mystery” と空目したアホは私です。洋書だけど英語不得手の私にも読める内容。

reviewed by Spiegel on 2021-01-11 (powered by PA-APIv5)

暗号化プライバシーを救った反乱者たち: スティーブン・レビー (著), 斉藤隆央 (翻訳); 紀伊國屋書店 2002-02-16; 単行本; 4314009071 (ASIN), 9784314009072 (EAN), 4314009071 (ISBN); 評価

[Comment] 20世紀末，暗号技術の世界で何があったのか。知りたかったらこちらを読むべし！

reviewed by Spiegel on 2015-03-09 (powered by PA-APIv5)

暗号技術入門第3版　秘密の国のアリス: 結城浩 (著); SBクリエイティブ 2015-08-25 (Release 2015-09-17); Kindle版; B015643CPE (ASIN); 評価

[Comment] SHA-3 や Bitcoin/Blockchain など新しい知見や技術要素を大幅追加。暗号技術を使うだけならこれ1冊でとりあえず無問題。