Ubuntu 20.04 その45 - FIDO及びU2FデバイスによるSSH認証のサポート

FIDO及びU2FデバイスによるSSH認証のサポート

「Ubuntu 20.04 LTS」では、「OpenSSH」に最新の「OpenSSH 8.2」を採用しています。


これにより「SSH」で「FIDO（Fast Identity Online）」や「U2F（Universal Second Factor）」デバイスによる認証がサポートされ、これらのデバイスによる認証を利用できるようになりました。

• Enhanced SSH and FIDO authentication in Ubuntu 20.04 LTS

もう一つの認証方法

これらの認証デバイスを利用しもう一つの認証方法を活用することで、ユーザーは認証基盤に強力で利用しやすい認証メカニズムを加えることができます。
ユーザーは鍵を配置しデバイスにタッチするだけで、ログインすることもできます。
「FIDO」及び「U2F」の利用を検討しているサーバーの管理者は、この仕組みに対応した新しいキータイプをサポートする「OpenSSH 8.2」以降の「OpenSSH」を使用するだけで対応できます。

新しい公開鍵と証明書

これらの認証デバイスを利用するには、認証デバイスをサポートする新しい種類の公開鍵と証明書を使用します。
公開鍵の種類では「ecdsa-sk」もしくは「ed25519-sk」を使用します。

秘密鍵と公開鍵のファイルの扱われ方は、従来と変わりありません。
ユーザーは引き続き秘密鍵にパスフレーズを設定することも可能です。

認証デバイスを利用した認証を加えることで、秘密鍵だけでは認証を行えなくなります。
つまり秘密鍵の漏洩に対し、セキュリティーの脅威を軽減することができます。

OpenSSHの認証デバイスのサポートについて

「OpenSSH」の認証デバイスのサポートについては、「OpenSSH 8.2」のリリースノートを参照してください。

• OpenSSH 8.2 was released

上記リリースノートの「FIDO/U2F Support」以降の項に、認証デバイスのサポートに関する記述があります。

セットアップの例

「OpenSSH」を利用したセットアップの例です。

1.認証デバイスの接続

まず認証デバイスをPCに接続します。

2.鍵の生成

鍵の種類を指定して、鍵を生成します。
ここでは例として鍵の種類に「ecdsa-sk」を指定しています。


後は対話的に鍵の生成処理が行われます。
また途中で認証デバイスのタッチが要求されます。


生成された秘密鍵と公開鍵が、以下のように作成されています。

3.公開鍵の登録

後は従来通り「ssh-copy-id」コマンドを使用して、接続先のサーバーにクライアントの公開鍵を登録します。
（サーバーの「~/.ssh/authorized_keys」ファイルに公開鍵を登録します。）
これで準備完了です。

4.SSHでサーバーに接続

「SSH」でサーバーに接続します。


途中で認証デバイスのタッチが要求され、認証に成功すれば接続が完了します。
認証デバイスのタッチが要求されるタイミングは、「Confirm user presence」が出力されるタイミングです。

認証デバイスのタッチに進まない不具合

上記の「4.」で認証デバイスのタッチが要求されていますが、「GNOME」環境だとこのタイミングから先に進まなくなります。
この不具合は以下で報告されています。

• missing ssh prompt to touch yubikey device when using gnome

不具合の修正状況や進捗は、上記不具合報告の内容を参照してください。