ウェブベースのSSH

ウェブベースSSHとは、ウェブブラウザを介してセキュアシェル（SSH）アクセスを提供するものです。SSHは、サーバー、ネットワーク機器、その他のデバイスをリモートで制御するためによく使用される安全なネットワークプロトコルです。ウェブベースSSHを使用すると、ユーザーは追加のソフトウェアをインストールすることなく、標準的なウェブブラウザを使用してこれらのデバイスにアクセスして管理できます。

ウェブベースのSSHクライアントは通常、JavaScriptとAjaxまたはWebSocketを使用して実装されます。これらのクライアントはプロキシを介してSSHサーバーと通信するため、ファイアウォールやSSHトラフィックをブロックする可能性のあるその他のネットワークセキュリティ対策を回避できます。これにより、ウェブベースのSSHは、インターネット接続があればどこからでもリモートサーバーやデバイスにアクセスできる、便利で安全な方法となります。

ウェブベースのSSHは、システム管理、ネットワーク管理、リモート開発など、さまざまな用途に役立ちます。IT専門家や開発者がサーバーにリモートアクセスして管理するためによく利用されるほか、自宅やオフィスのコンピュータに遠隔地からアクセスする必要がある個人にも利用されています。

ウェブベースのSSHクライアントは、ユーザーがウェブブラウザ経由でセキュアシェル（SSH）サーバーにアクセスできるようにするアプリケーションです。これらは主に2つの部分から構成されています。1つはクライアント側のコンポーネントで、通常はJavaScriptと動的HTMLを使用して実装されます。もう1つはサーバー側、つまりウェブアプリケーションコンポーネントで、通常はアプリケーションサーバー上に実装されます。

クライアント側のコンポーネントは、キー入力をキャプチャし、サーバーとの間でメッセージを送受信し、結果をユーザーのWebブラウザに表示します。サーバー側のコンポーネントは、受信したリクエストを処理し、キーボードイベントを、接続されているSSHサーバーと通信するセキュアシェルクライアントに転送します。ターミナル出力は、クライアントに渡されてJavaScriptを使用してHTMLに変換されるか、サーバーによってHTMLに変換されてからクライアントに送信されます。

ウェブベースのSSHの主な利点は、以下のようにまとめられます。

• アクセシビリティ：この記事で説明するWebベースのSSHでは、クライアントソフトウェアをローカルにインストールする必要はありません。そのため、Webブラウザを使用してどこからでもSSHサーバーにアクセスできます。通信はHTTPまたはHTTPSに基づいているため、インターネットアクセスをポート80（ HTTP）または443（HTTPS ）のみに制限するファイアウォールやプロキシの背後からでもSSHサーバーにアクセスできます。
• 匿名アクセス：SSHアクセスは中間Webアプリケーションサーバーを経由してトンネル接続されるため、実際にSSHサーバーと通信するのはこのWebアプリケーションサーバーです。つまり、SSHサーバーはWebアプリケーションサーバーのIPアドレスのみを認識し、クライアントの実際のIPアドレスは隠蔽されます。
• 監査可能性：クライアントとSSHサーバー間のすべての通信はWebアプリケーションサーバーを経由するため、この通信をログに記録できます。これにより、悪意のあるクライアントが自身の活動ログを削除することを防ぎます。これは従来のSSHサーバーの場合と全く同じ状況です。
• セッションの再開：一部のWebベースのSSH実装では、切断後にSSHセッションを再開できます。これは従来のSSHクライアントでは不可能です。
• 組み込み可能：WebベースのSSH実装は任意のWebページに組み込むことができ、他のWebベースのアプリケーションに統合することが可能です。
• 独自の機能：多くのウェブベースのSSHツールには、他のユーザーと端末を共有する機能、端末内に画像を表示する機能、その他の便利な機能など、独自の機能が備わっています。

ウェブベースのSSHクライアントを使用する際には、以下の点を考慮する必要があり、これらは重要です。

• セキュリティ： Webアプリケーションサーバーとの通信にはHTTPSを使用することが重要です。そうしないと、送信されるすべてのデータが単純なパケットスニファで読み取られ、機密情報が漏洩する可能性があります。
• 信頼性：Webアプリケーションサーバーに送信されるデータは、そこで復号化されます。これは、発行されたコマンドを実際のSSHサーバーに転送するために必要です。WebベースのSSHソリューションの運用者は通常、機密データをログに記録しませんが、理論的にはデータは平文でアクセス可能です。WebアプリケーションサーバーとSSHサーバーが同じサーバー上で実行されている場合、または同じ組織によって管理されている場合、これがセキュリティ上の問題を引き起こす可能性は低いと考えられます。
• トンネリング：従来のアプリケーションベースのSSHクライアントとは異なり、WebベースのSSHクライアントはTCPトラフィックをトンネリング（「転送」）することができません。たとえば、 WebベースのSSHセッション上でXセッションを実行することはできません。ただし、この機能の欠如は実装上の問題によるものであり、何らかの形で固有のものではありません。^{[ 3 ]}

• Google のChrome および Chromium 用 Secure Shell 拡張機能^{[ 4 ]}は、JavaScript の hterm ターミナル エミュレータとNative Client上で実行されるOpenSSHクライアント コードを組み合わせています。^{[ 5 ]} Secure Shell 拡張機能は、プロキシ フックを介して Google 以外の HTTP-to-SSH プロキシと連携し、サードパーティ アプリケーションnassh-relay ^{[ 6 ]}は、これらのフックを使用して、Secure Shell 拡張機能がXMLHttpRequestまたはWebSocketトランスポートを介して SSH 接続を確立できるようにします。
• shellinabox ^{[ 7 ]}はスタンドアロン サービスとして、またはnginxと連携して動作し、ログイン シェルへのHTTPSアクセスを提供します。DebianおよびRedHat派生Linuxディストリビューション向けにパッケージ化されています。
• webssh ^{[ 8 ]}は、Python で書かれた同様のソリューションです。
• Bastilion ^{[ 9 ]}は、監査機能と鍵管理機能を備えた、自己ホスト型のウェブベースの踏み台ホストです。ユーザーはHTTPSを介して中央サーバーに接続し、SSH 接続は安全なWebSocketトランスポートを介してプロキシされます。
• FireSSHは、Firefox ESRおよびWaterfoxで動作するブラウザプラグインです。

• ウェブシェル