SSHプロトコルの概要

NetApp

設定 : [セキュリティ] > [SSH / SSL] : SSHとSSLについて : SSHプロトコルの概要

SSHプロトコルの概要

Secure Shell（SSH）プロトコルは、ホストキーとサーバキーを使用した公開鍵暗号を実行します。 SSHは、ストレージシステムでのクライアントの認証手段として使用できます。また、クライアントとストレージシステム間のデータを暗号化するためのセッションキーが生成されるため、セキュリティが向上します。

Data ONTAPで実行されるSSHサーバのバージョンはData ONTAP SSHバージョン1.0です。 Data ONTAPに実装されるCommon Vulnerabilities and Exposures（CVE）のセキュリティ修正プログラムについては、ネットアップサポートサイトの「Suspected Security Vulnerabilities」を参照してください。

Data ONTAPでは、SSH 1.xプロトコルとSSH 2.0プロトコルをサポートしています。

Data ONTAPでは、次のSSHクライアントをサポートしています。

•	OpenSSHクライアントバージョン4.4p1（UNIXプラットフォーム）

•	SSH Communications Securityクライアント（SSH Tectiaクライアント）バージョン6.0.0（Windowsプラットフォーム）

•	Vandyke SecureCRTバージョン6.0.1（Windowsプラットフォーム）

•	PuTTYバージョン0.6.0（Windowsプラットフォーム）

•	F-Secure SSHクライアントバージョン7.0.0（UNIXプラットフォーム）

SSHでは、次の3つのキーを使用してセキュリティの向上を実現します。

•

ホストキー

SSHでは、ホストキーを使用してセッションキーを暗号化 / 復号化します。 SecureAdminの設定時にホストキーのサイズを指定すると、Data ONTAPによってホストキーが生成されます。

注: SecureAdminは、Data ONTAP 8.0以降を搭載して出荷されたストレージシステムでは自動的に設定されます。

•

サーバキー

SSHでは、ホストキーを使用してセッションキーを暗号化 / 復号化します。 SecureAdminの設定時にサーバキーのサイズを指定します。 SSHが有効になっている場合、次のいずれかのイベントが発生したときにData ONTAPによってサーバキーが生成されます。

•	SecureAdminの開始時

•	1時間が経過した時点

•	ストレージシステムのリブート時

•

セッションキー

SSHでは、セッションキーを使用して、クライアントとストレージシステムの間で送信されるデータを暗号化します。セッションキーはクライアントによって作成されます。クライアントはホストキーとサーバキーを使用してセッションキーを暗号化し、暗号化したセッションキーをストレージシステムに送信します。ストレージシステムでは、ホストキーとサーバキーを使用してこれを復号化します。セッションキーが復号化されると、クライアントとストレージシステムの間で暗号化データをやり取りできるようになります。

次の表に、Data ONTAPでストレージシステムとクライアントの間にセキュアなセッションを確立する方法を示します。

手順	クライアントの動作	ストレージシステムの動作
1	クライアントがSSH要求をストレージシステムに送信	ストレージシステムがクライアントからのSSH要求を受信
2		ストレージシステムがホストキーの公開部分、およびサーバキー（SSH 1.xを使用している場合）をクライアントに送信
3	クライアントがホストキーの公開部分を、今後ホストの認証に使用するために保管
4	クライアントがランダムなセッションキーを生成
5	クライアントがホストキーの公開部分、およびサーバキー（SSH 1.xを使用している場合）を使用してセッションキーを暗号化し、ストレージシステムに送信
6		ストレージシステムがホストキーの非公開部分、およびサーバキー（SSH 1.xを使用している場合）を使用して、セッションキーを復号化
7	ストレージシステムとクライアントが、セッションキーを使用して情報を暗号化および復号化し、送受信

注: 疑問符（?）、ピリオド（.）、アスタリスク（*）、キャレット（^）などの文字は、クライアント上で稼働しているコマンドインタープリタによって特別な意味に解釈されることがあります。これらの文字は、クライアント上のコマンドインタープリタによって環境に固有な値に変換されて、SSHプログラムに送られる可能性があります。文字が置き換えられないようにするには、該当する文字の前にエスケープシーケンスを挿入するか（ssh ip_address \?）、または該当する文字を引用符で囲みます（ssh ip_address '?'）。

Data ONTAPはパスワード認証、および公開鍵による認証をサポートします。 .rhostsファイルの使用、またはRSAホスト認証での.rhostsファイルの使用はサポートされません。

Data ONTAPでは、次の暗号化アルゴリズムをサポートしています。

•	RSA / DSA（1024ビット）

•	3DES（CBCモード）

•

•

関連情報

「Suspected Security Vulnerabilities」：support.netapp.com/NOW/knowledge/docs/olio/scanner_results

「このトピックは役に立ちましたか? ご意見をお聞かせください。」