Oracle Solaris Secure Shell と OpenSSH プロジェクト

Oracle Solaris Secure Shell は OpenSSH プロジェクトのフォークです。OpenSSH の最近のバージョンに見つかった脆弱性に対するセキュリティー関連の修正が、個別のバグ修正および機能として Oracle Solaris Secure Shell に組み込まれています。Oracle Solaris Secure Shell フォークに対しては内部開発が継続されます。

Oracle Solaris の技術者はプロジェクトにバグ修正を提供するほか、次の の機能を Secure Shell の Oracle Solaris フォークに組み込みました。

• PAM - Oracle Solaris Secure Shell では PAM が使用されます。OpenSSH の UsePAM 設定オプションはサポートされていません。

• 特権の分離 - Oracle Solaris Secure Shell では OpenSSH プロジェクトの特権分離コードは使用されません。Oracle Solaris Secure Shell では、監査、記録管理、および再キーイングの処理がセッションプロトコルの処理から分離されます。

  Oracle Solaris Secure Shell の特権分離コードは常にオンに設定されており、オフに切り替えることはできません。OpenSSH の UsePrivilegeSeparation 設定オプションはサポートされていません。

• ロケール - Oracle Solaris Secure Shell では、RFC 4253「Secure Shell Transfer Protocol」で定義されている言語ネゴシエーションが完全にサポートされています。ユーザーがログインしたあと、ユーザーのログインシェルプロファイルを Secure Shell でネゴシエーションを行なったロケール設定に優先することができます。

• 監査 - Oracle Solaris Secure Shell は Oracle Solaris 監査サブシステムに完全に統合されています。監査については、パート VII「Oracle Solaris 監査」を参照してください。

• GSS-API のサポート - GSS-API はユーザー認証と初期鍵交換の両方に使用できます。GSS-API は RFC 4462「Generic Security Service Application Program Interface」で定義されています。

• プロキシコマンド - Oracle Solaris Secure Shell では、SOCKS5 プロトコルと HTTP プロトコルのプロキシコマンドが提供されています。例については、「ファイアウォール外部のホストにデフォルト接続を設定する方法」を参照してください。

Solaris 9 リリース以降、Oracle Solaris Secure Shell に次の変更点が取り入れられています。

• Oracle Solaris Secure Shell は OpenSSH 3.5p1 からフォークされます。

• /etc/ssh/sshd_config ファイルの X11Forwarding のデフォルト値が、yes になりました。

• 次のキーワードが採用されました。

  • GSSAPIAuthentication

  • GSSAPIKeyExchange

  • GSSAPIDelegateCredentials

  • GSSAPIStoreDelegatedCredentials

  • KbdInteractiveAuthentication

  GSSAPI キーワードによって、 Oracle Solaris Secure Shell で GSS 資格を認証に使用できます。KbdInteractiveAuthentication キーワードが、PAM での任意のプロンプトとパスワードの変更をサポートします。キーワードとそのデフォルト値の一覧については、「Secure Shell でのキーワード」を参照してください。

• ARCFOUR 暗号および AES128-CTR 暗号を使用できます。ARCFOUR は RC4 としても知られています。AES 暗号は、カウンタモードの AES です。

• sshd デーモンが、/etc/default/login および login コマンドの変数を使用します。/etc/default/login の変数は、sshd_config ファイルの値によって無効にすることができます。詳細は、「Secure Shell およびログインの環境変数」と sshd_config(4) のマニュアルページを参照してください。

• 接続が認証されると、サーバーの ChrootDirectory オプションによって、接続されたクライアントをオプションが指定するディレクトリに chroot することができます。このオプションはプロセス内 SFTP サーバー、つまり内部 SFTP をサポートし、その構成は ChrootDirectory オプションを使用することによって簡素化されています。