山賀正人のブログ

GnuPG 2.1.17 のパッケージソースを作ってみました。

(0) インストール済みのgnupg2があれば、あらかじめアンインストールしておきます。もちろん、同時にインストールされていたライブラリなどは残しておきます。

(1) gnupg2-2.1.17.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/gnupg2-2.1.17.pkgsrc.tgz
# cd gnupg2-2.1.17
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/gnupg-2.1.17.tgz

(2) インストールはroot権限で以下のように実行します。

# pkg_add -v -i (somewhere)/gnupg-2.1.17.tgz

これは OpenBSD プロジェクトによる gnupg-2.1.15 のパッケージ (current) を gnupg-2.1.17 に合わせて手直ししただけで、全ての動作を確認したものではありません。また FLAVOR は一切試していません。あくまで自己責任でご利用ください。

libgcrypt-1.7.5 のパッケージソースを作ってみました。

これは標準パッケージの libgcrypt-1.7.1 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

libgcrypt-1.7.5.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/libgcrypt-1.7.5.pkgsrc.tgz
# cd libgcrypt-1.7.5
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/libgcrypt-1.7.5.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/libgcrypt-1.7.5.tgz

これは OpenBSD プロジェクトによる libgcrypt-1.7.4 のパッケージ (current) を libgcrypt-1.7.5 に合わせて手直ししただけで、全ての動作を確認したものではありません。あくまで自己責任でご利用ください。

gnutls-3.4.17 のパッケージソースを作ってみました。

これは標準パッケージの gnutls-3.4.14 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

gnutls-3.4.17.pkgsrc.tgz をダウンロードし、root権限で以下のように実行してインストールします。

# cd /usr/ports/security
# tar zxvf (somewhere)/gnutls-3.4.17.pkgsrc.tgz
# cd gnutls-3.4.17
# make package
# pkg_add -v -r -i /usr/ports/packages/`machine`/all/gnutls-3.4.17.tgz

これは OpenBSD プロジェクトによる gnutls-3.4.16 のパッケージ (current) を gnutls-3.4.17 に合わせて手直ししただけで、全ての動作を確認したものではありません。あくまで自己責任でご利用ください。

今月分が公開されました。

パスワード類推攻撃の危険性は過小評価されている ほか
http://internet.watch.impress.co.jp/docs/column/security/1033489.html

stunnel-5.38 のパッケージソースを作ってみました。

stunnel-5.38.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/stunnel-5.38.pkgsrc.tgz
# cd stunnel-5.38
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/stunnel-5.38.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/stunnel-5.38.tgz

これは OpenBSD プロジェクトによる stunnel-5.37 のパッケージ (current) を stunnel-5.38 に合わせて手直ししただけで全ての動作を確認したわけではありません。

pinentry-1.0.0 のパッケージソースを作ってみました。

pinentry-1.0.0.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/pinentry-1.0.0.pkgsrc.tgz
# cd pinentry-1.0.0
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/pinentry-1.0.0.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/pinentry-1.0.0.tgz

これは OpenBSD プロジェクトによる pinentry-0.9.7 のパッケージ (current) を pinentry-1.0.0 に合わせて手直ししただけで全ての動作を確認したわけではありません。

GnuPG 2.1系で使われるライブラリ npth-1.3 のパッケージソースを作ってみました。

これは標準パッケージの npth-1.2 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

npth-1.3.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/devel
# tar zxvf (somewhere)/npth-1.3.pkgsrc.tgz
# cd npth-1.3
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/npth-1.3.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/npth-1.3.tgz

これは OpenBSD プロジェクトによる npth-1.2 のパッケージを npth-1.3 に合わせて手直ししただけで全ての動作を確認したわけではありません。

GnuPG 2.1.16 のパッケージソースを作ってみました。

(0) インストール済みのgnupg2があれば、あらかじめアンインストールしておきます。もちろん、同時にインストールされていたライブラリなどは残しておきます。

(1) gnupg2-2.1.16.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/gnupg2-2.1.16.pkgsrc.tgz
# cd gnupg2-2.1.16
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/gnupg-2.1.16.tgz

(2) インストールはroot権限で以下のように実行します。

# pkg_add -v -i (somewhere)/gnupg-2.1.16.tgz

これは OpenBSD プロジェクトによる gnupg-2.1.15 のパッケージ (current) を gnupg-2.1.16 に合わせて手直ししただけで、全ての動作を確認したものではありません。また FLAVOR は一切試していません。あくまで自己責任でご利用ください。

libgpg-error-1.25 のパッケージソースを作ってみました。

これは標準パッケージの libgpg-error-1.23 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

libgpg-error-1.25.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/libgpg-error-1.25.pkgsrc.tgz
# cd libgpg-error-1.25
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/libgpg-error-1.25.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/libgpg-error-1.25.tgz

これは OpenBSD プロジェクトによる libgpg-error-1.24 のパッケージ (current) を libgpg-error-1.25 に合わせて手直ししただけで、全ての動作を確認したものではありません。あくまで自己責任でご利用ください。

今月分が公開されました。

人は危険と知っていてなぜパスワードを適切に設定しないのか?/ユーザーの「セキュリティ疲れ」をNISTが研究
http://internet.watch.impress.co.jp/docs/column/security/1028590.html

stunnel-5.37 のパッケージソースを作ってみました。

stunnel-5.37.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/security
# tar zxvf (somewhere)/stunnel-5.37.pkgsrc.tgz
# cd stunnel-5.37
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/stunnel-5.37.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/stunnel-5.37.tgz

これは OpenBSD プロジェクトによる stunnel-5.31 のパッケージを stunnel-5.37 に合わせて手直ししただけで全ての動作を確認したわけではありません。

Ubuntu 16.10 の日本語入力システムがOS起動後に使えたり、使えなかったり（ログインし直せばOK）するのは、fcitx が起動しないことがあるための模様。なぜ起動しないことがあるのかは、まだよくわかりません。とりあえず、日本語入力システムが使えない場合は、手動で fcitx を起動すればいいだけなのですが、実に気持ち悪い…。

因みに、手動で fcitx を起動するにはコマンドラインで fcitx と実行するだけ。Launcher に登録しておくと良いかも。

libpng-1.6.26 のパッケージソースを作ってみました。

これは標準パッケージの png-1.6.23 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

png-1.6.26.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/graphics
# tar zxvf (somewhere)/png-1.6.26.pkgsrc.tgz
# cd png-1.6.26
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/png-1.6.26.tgz

インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/png-1.6.26.tgz

これは OpenBSD プロジェクトによる png-1.6.25 のパッケージ (current) を png-1.6.26 に合わせて手直ししただけで全ての動作を確認したわけではありません。

先日リリースされたばかりの Ubuntu 16.10 (Yakkety Yak) を早速試してみたのですが、OpenSMTPD が何故か全く動かないのです。インストールに失敗したのかと思い、一旦、アンインストールして再インストールしてみたものの、状況は変わらず。そこで /var/log/syslog を見てみると、

/var/spool/smtpd/purge is not owned by uid 126

のエラーメッセージが。調べてみると確かに owner が root になっています。

$ sudo ls -ld /var/spool/smtpd/purge
drwx------ 2 root root 4096 Oct 19 10:10 /var/spool/smtpd/purge

インストーラがダメダメみたい orz

ということで owner を修正。

$ sudo chown opensmtpq /var/spool/smtpd/purge
$ sudo ls -ld /var/spool/smtpd/purge
drwx------ 2 opensmtpq root 4096 Oct 19 10:10 /var/spool/smtpd/purge

これで OpenSMTPD がちゃんと起動するようになりました (^^)v

gnutls-3.4.16 のパッケージソースを作ってみました。

これは標準パッケージの gnutls-3.4.14 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

gnutls-3.4.16.pkgsrc.tgz をダウンロードし、root権限で以下のように実行してインストールします。

# cd /usr/ports/security
# tar zxvf (somewhere)/gnutls-3.4.16.pkgsrc.tgz
# cd gnutls-3.4.16
# make package
# pkg_add -v -r -i /usr/ports/packages/`machine`/all/gnutls-3.4.16.tgz

これは OpenBSD プロジェクトによる gnutls-3.4.15 のパッケージ (current) を gnutls-3.4.16 に合わせて手直ししただけで、全ての動作を確認したものではありません。あくまで自己責任でご利用ください。

今月分が公開されました。連載11年目に突入です。

攻撃の「悪化」傾向は変わらず〜Akamaiの第2四半期レポート
http://internet.watch.impress.co.jp/docs/column/security/1022798.html

netatalk-3.1.10 のパッケージソースを作ってみました。

(0) インストール済みのnetatalkがあれば、あらかじめアンインストールしておきます。もちろん、同時にインストールされていたライブラリなどは残しておきます。インストールされていなければ、標準パッケージをインストールすることで、必要なライブラリをインストールしておきます。

# pkg_add -v -i netatalk
# pkg_delete -v netatalk

(1) netatalk3-3.1.10.pkgsrc.tgz をダウンロードしてroot権限で以下のように実行します。

# cd /usr/ports/net
# tar zxvf (somewhere)/netatalk3-3.1.10.pkgsrc.tgz
# cd netatalk3-3.1.10
# make package
# make clean

すると以下のパッケージができます。

/usr/ports/packages/`machine`/all/netatalk-3.1.10.tgz

(2) インストールはroot権限で以下のように実行します。

# pkg_add -v -r -i (somewhere)/netatalk-3.1.10.tgz

なお、このパッケージソースは OpenBSD プロジェクトによる netatalk-3.1.9 のパッケージ (current) を netatalk-3.1.10 に合わせて手直ししただけで、全ての動作を確認したわけではありません。

GNUTLS-SA-2016-3「OCSP validation issue」 を修正した gnutls-3.4.15 のパッケージソースを作ってみました。

これは標準パッケージの gnutls-3.4.14 をそのまま置き換えますが、互換性の問題で不具合が発生する可能性があります。ご利用に当たっては自己責任でお願いします。

gnutls-3.4.15.pkgsrc.tgz をダウンロードし、root権限で以下のように実行してインストールします。

# cd /usr/ports/security
# tar zxvf (somewhere)/gnutls-3.4.15.pkgsrc.tgz
# cd gnutls-3.4.15
# make package
# pkg_add -v -r -i /usr/ports/packages/`machine`/all/gnutls-3.4.15.tgz

これは OpenBSD プロジェクトによる gnutls-3.4.14 のパッケージを gnutls-3.4.15 に合わせて手直ししただけで、全ての動作を確認したものではありません。あくまで自己責任でご利用ください。

今月分が公開されました。

今回で連載120回、つまり丸10年になります。ここまで続けて来られたのはお読みいただいている皆様のおかげです。これからも引き続き宜しくお願い致します。

シャドーITとクラウドの危うい関係
http://internet.watch.impress.co.jp/docs/column/security/1018406.html

以下の内容は古く、2018年10月にリリースされた OpenSMTPD 6.4.0 以降では smtpd.conf の文法が大幅に変更されたので、詳細は smtpd.conf(5) をご参照ください。また、本記事で紹介している方法との差分だけを紹介した記事もご参照ください。

OpenBSD project による SMTP サーバの実装である OpenSMTPD が OpenBSD の標準 MTA になって2年以上経ちましたので、改めて OpenSMTPD の設定についてまとめてみました。

内容は2年以上前に書いた記事とほぼ同じですが、OpenBSD 6.0 に標準で搭載されているバージョン 6.0.0 を前提とし、シンプルに書き直しています。

(0) smtpd を停止します（OpenBSDでは標準でローカル→ローカルおよびローカル→外部配送用に smtpd が起動しています）。

# /etc/rc.d/smtpd stop

(1) メールサーバとして実際のホスト名とは異なるドメインを扱う場合は、/etc/mail/mailname を新規に作成し、そこにメールサーバ名（or ドメイン名、DNSで名前解決できるもの）を記述します。

# echo メールサーバ名 > /etc/mail/mailname

このファイルに記述する文字列は Postfix で言うところの myhostname や mydomain で設定する文字列に相当します。

(2) メールの外部への配送は、認証のある外部SMTPサーバにリレーさせるので、その認証情報を設定します。

# touch /etc/mail/secrets
# chmod 640 /etc/mail/secrets
# chown root:_smtpd /etc/mail/secrets
# echo "ラベル ユーザ名:パスワード" > /etc/mail/secrets

セキュリティを真面目に考えるなら echo ではなくて、vi などのエディタを使うべきでしょう。

(3) 設定ファイル /etc/mail/smtpd.conf を以下のような内容で作成します。

relayhost = "tls+auth://ラベル@リレーサーバ名:587"

table aliases file:/etc/mail/aliases
table secrets file:/etc/mail/secrets

listen on all

accept from any for local alias <aliases> deliver to mbox
accept for any relay via $relayhost auth <secrets>

上記の設定内容は「見たまま」なので説明は不要でしょう。ただし「from ほげほげ」を省略すると「from local」を意味します。因みに、特定のアドレスブロック（例えば、192.168.0.0/24）から無条件でリレーを許可する場合は以下のように設定します。

relayhost = "tls+auth://ラベル@リレーサーバ名:587"
mynetwork = "192.168.0.0/24"

table aliases file:/etc/mail/aliases
table secrets file:/etc/mail/secrets

listen on all

accept from any for local alias <aliases> deliver to mbox
accept from source $mynetwork for any relay via $relayhost auth <secrets>
accept for any relay via $relayhost auth <secrets>

(4) 文法に間違いがないか確認します。

# /usr/sbin/smtpd -n
configuration OK

(5) smtpd を起動します。

# /etc/rc.d/smtpd start

これで /etc/mail/mailname に設定したドメイン宛のメールを受け取れること、またローカルから外部への（リレーサーバ経由での）配送もできることを確認しました。

参考文献

• smtpd.conf(5)