CentOS6系のOpenSSHは5.3p1となっています。
# cat /etc/redhat-release
CentOS release 6.9 (Final)
# ssh -V
OpenSSH_5.3p1, OpenSSL 1.0.1e-fips 11 Feb 2013
このバージョンはパッチが当てられていて安全に使用できるのですが
脆弱性が多いと噂があり、CentOSのOpenSSHはECDSAの鍵認証を受け付けず、
サポートも対象外なのでいっその事OpenSSHの最新版(7.1p1)へとアップグレードしてみました。
■ 環境
- 使用OS：CentOS 6.9
- シリアルコンソール or telnet で sshd 再起動できること
conoha のVPSは管理画面からシリアルコンソールが開けるのでOK。
※作業中SSHが切断するので注意。
■ 1. 必要なパッケージをインストール
yum groupinstall -y "Base" "Development tools"
yum install -y openssl-devel krb5-devel pam-devel tcp_wrappers-devel
■ 2. OpenSSHのソースを取得して展開
cd
wget http://ftp.jaist.ac.jp/pub/OpenBSD/OpenSSH/portable/openssh-7.1p1.tar.gz
tar xzvf openssh-7.1p1.tar.gz
■ 3. SPECファイルを書き換え
RPM ビルド用SPECにある以下2箇所を 0 → 1 に変更
%define no_x11_askpass 1
%define no_gnome_askpass 1
■ 4. 不要ディレクトリ削除 → configure
cd openssh-7.1p1/contrib
rm -rf aix/ solaris/ suse/ hpux/ cygwin/
cd ..
./configure --without-zlib-version-check
■ 5. RPMをビルドする
cd ..
tar czvf openssh-7.1p1.cust.tar.gz openssh-7.1p1/
rm -rf openssh-7.1p1
rpmbuild --tb --clean openssh-7.1p1.cust.tar.gz
ビルド後 /root/rpmbuild/RPMS/x86_64/ に以下が生成される：
openssh-7.1p1-1.x86_64.rpm
openssh-clients-7.1p1-1.x86_64.rpm
openssh-server-7.1p1-1.x86_64.rpm
openssh-debuginfo-7.1p1-1.x86_64.rpm
■ 6. 旧バージョン削除 → 新バージョン導入
yum remove openssh
rpm -Uvh /root/rpmbuild/RPMS/x86_64/openssh-7.1p1-1.x86_64.rpm
rpm -Uvh /root/rpmbuild/RPMS/x86_64/openssh-server-7.1p1-1.x86_64.rpm
rpm -Uvh /root/rpmbuild/RPMS/x86_64/openssh-clients-7.1p1-1.x86_64.rpm
rpm -Uvh /root/rpmbuild/RPMS/x86_64/openssh-debuginfo-7.1p1-1.x86_64.rpm
※ yum remove 時に git 等が巻き添え削除されるので注意。
■ 7. sshdの設定復元
旧設定が消えているため必要に応じて /etc/ssh/sshd_config を再設定。
■ 8. sshd再起動
これは SSH以外の経路 で実施推奨：
/etc/init.d/sshd restart
■ 9. 動作確認
ssh -V
→ OpenSSH_7.1p1
■ 10. 巻き添え削除パッケージを再インストール（任意）
yum install -y git perl-Git systemtap systemtap-client
■ おしまい
これで ECDSA 鍵が使用できます。
