2024a 第07回:リモートログインとCUI
前回授業振り返り
コンピュータ・アーキテクチャ
https://gyazo.com/7392b267955a7b4ae6e3bbe0a7e2e66d
中央処理装置 CPU ≒ 頭脳、性能が高いほど計算が早い
主記憶装置メモリ ≒ 机の広さ、同時処理できるデータ量が多い
補助記憶装置 HDD ≒ 本棚の容量、保存できるデータ量が多い
ファイルシステム
補助記憶装置 = 本棚を引用すると…
大量の書類を管理するために、内部を細分化していくための索引が「ディレクトリ」
https://gyazo.com/bd9c8fd6713143681ce26266a1bebce1
ターミナル
GUI(画面+マウス)でなく、CLI(文字+キーボード)だけでコンピュータを操作するためのツール
https://gyazo.com/fa7491399f698b1d966348ad9c4a7fef
pwd … Print Working Directory / 今いるディレクトリを表示
cd … Change Directory / ディレクトリ移動
ls … list / 今いるディレクトリの中身を表示
mkdir … MaKe DIRectory / ディレクトリを作成
mv … MoVe / ファイルを移動(命名変更)する
cp … CoPy / ファイルを複製する
今日はCLIの応用で、大学のサーバーに接続、遠隔操作していただきます
https://gyazo.com/37148dd2cedad881f3a2f67f64b76615
サーバーを遠隔操作するにあたり、まずはセキュリティから
遠隔操作できない ≒ 物理的なアクセス手段が攻撃に必要
遠隔操作ができる ≒ インターネット上のどこからでも攻撃が可能
その他主要な攻撃方法の紹介
ブルートフォース(=強引な)攻撃
概要
サイトのログイン欄に無作為にid/passwordペアを流し込み続け、ログインに成功するまで試みる
亜種1：辞書攻撃 … パスワードは単語の組み合わせであることが多いため、単語の組み合わせを利用
→ 講師も個人webサーバーをこれで一度ハッキングされたことアリ
インフラ提供運用会社側にて検知、停止後通知してくれたが、ハッキングの踏み台に利用されたりする
⇔この攻撃を防止する意味でも、wifi同様「電子証明書によるアクセス」をサーバーにも適用します
亜種2：パスワードリスト攻撃 … サイトAで漏洩したid/pwペアで他サービスへのログインを試行する
実現できる対策
複雑なパスワードを使う
文字数の多さが何よりも大事
英語だけでなく、数字、記号を併用することで辞書攻撃を防ぐ
紛失しても、シリアル番号でバックアップ可能
同じパスワードを使い回さない
固定パスワードの末尾にサイト名を付与するだけでも有用
例： password1234 → password1234amazon / password1234rakuten
管理が難しければパスワードマネージャー (chrome, 1password) の利用も
⇔ パスワードマネージャーがハックされると…
gmail等一部のメールサービスのみで使えるサービス
itsuki.sakitsu@gmail.com というアドレスは itsuki.sakitsu+XXXX@gmail.com でも届く
例： itsuki.sakitsu+amazon@gmail.com / itsuki.sakitsu+rakuten@gmail.com
パスワードリスト攻撃の回避策になる
不審なメールが届いた際の漏洩元特定にも役立つ
二段階認証の設定
「6桁の数字」をアプリで表示したり、SMSで受信するやつ
パスワードが漏洩しても、別システムの認証が通過していないユーザーは使えない
偽ECサイト (≒フィッシング)
概要
商品名でgoogle検索後、無名なECサイトにたどり着くケースがある
※右記URLも一例、偽ECサイトと断定はできないが疑義は多いため購入は行わないように 参考 以前はクレジットカード決済を受け付けるための審査が厳しかったが最近は stripeやsquare などカード決済受付のハードルが下がりつつある 購入しても商品が届かない、クレジットカード情報を詐取される等
実現できる対策
ECサイトを運営するものは、事業者の氏名や住所、電話番号の開示がサイト内で求められているので確認をすること
https://gyazo.com/67049d071361e696dabb7ec76e8c6730
FAXが携帯電話番号！？
住所をストリートビューすると…
https://gyazo.com/0956e9ec8f75a866d9a16c2c29fd96fc
うまい話などない
相場の半値…だと…
https://gyazo.com/90bd07bb9a89d83e3bdc8d56703ab09b
無理に購買を促すのは不安の現れ
https://gyazo.com/1ade0d95d1a350ed3f8c1499d6027488
ガンケースなどというニッチな品が毎日売れるわけもない
https://gyazo.com/73dc16b3e12cdf3d67642349565fa034
Quiz
キャンパスにはファイアウォールがあるので、セキュリティ対策ソフトの機能を一時停止
✕
ファイヤウォールは通信遮断を行うのみ
TLSが使われていること、相手のサイトの証明書が正しいことを確認した上で自分の名前や住所を入力
◯
証明書は発行元を見ることが大事
Let's encryptは誰でも発行できるので要注意
USBメモリーを使ってファイルをもらった。
◯
ただしUSBメモリーに自動起動するウイルスが含まれている可能性もあるため、セキュリティソフトを常駐させていることが望ましい
ネットワークにつなぐ機会がなかったので、ソフトウェアをアップデートせずにそのまま使っている。
✕
無菌室に住んでいるのでワクチンは摂取しません といっているようなもの
次にアップデートをするときにどうするか？
USB接続の場合でも先述の通りセキュリティソフトが対応できていないウイルスが混入していた場合に防ぐことが出来ない
大学のサーバーを使えるよ
何に使えるか？
自分で作ったwebサービスを起動して運営したり
linux環境でなければ動かないツールを実行してみたり
公開鍵暗号を用いた認証
大枠はCNSに接続してもらった際の「個人証明書」と同じ要素技術
電子的な鍵を生成し、大事にとっておく
サーバーには鍵に対応する鍵穴(鍵を受け取れば検証ができるが、鍵穴から鍵を類推することはできない)を登録しておく
借りてきたPCでのssh接続での注意点
なぜか
共用PCに秘密鍵を残すことは、家の鍵を図書館に置いてくることと同じ
そもそも共用PCからは接続しない、もしくはパスワードログインに留めるのが正解
パスワードログインの場合、簡単なパスワードを設定しているとリスト型攻撃 などによりハッキングされる可能性もあるのでパスワードログイン自体を無効化することが一般的には推奨されている パスワード接続のsshは暗号化されるか？
パスワードログインよりも鍵ログインの方が安全な理由
秘密鍵も所詮はファイル形式で保存される以上連続した文字列でしかないが、パスワードと比較して圧倒的に複雑性が高い 一方で、パスワードと比較して「ファイルとして残る」というデメリットも存在するため、如何に安全に管理するかが重要になる
特記事項なし
ccx02サーバに接続するためには
ssh CNSログイン名@ccx02.sfc.keio.ac.jp -i ssh秘密鍵 小テスト
なし
演習パート
https://gyazo.com/8a2655b07400d54e4fe9bc0ba4f04645
CUI 15ページ目 演習 およびその他コマンドの演習 cal, date等のコマンドも是非試しておいてください
https://gyazo.com/6aa7d8814f6d257e3233934ea25a8fb0
宝探しゲーム
コマンドのヒント
lessを実行後、ファイルの閲覧を終了するにはキーボードのQを押す
ひとつ上のディレクトリに移動するためには cd ../ を使います
本日の課題