iOSでのSSHエージェント転送：NeoServerがプライベートキーをiPhone上で保護

リモートサーバーで git clone を実行したことがある人なら、誰もが同じ問題に直面します。このマシンはどのようにGitHubで認証するのか？ これに対する一般的な解決策は、どれも欠点があります。プライベートキーをサーバーにコピーすれば、そのサーバーが一度侵害されただけで、あなたのすべてのキーが漏洩してしまいます。リポジトリごとに使い捨てのデプロイキーを作成すれば、キーの管理に追われることになります。パーソナルアクセストークンを使用したHTTPSに頼れば、トークンがディスク上の .git-credentials ファイルに平文で置かれることになります。

SSHエージェント転送（Agent Forwarding） がこれを解決する最もスマートな答えであり、NeoServer はこれをiOSで適切に実現します。プライベートキーがiPhoneの外に出ることは決してありませんが、リモートサーバーはコードのプル、コミットのプッシュ、次のホストへのジャンプのために、一時的にそれを借用することができます。

SSHエージェント転送が実際に何をするのか

SSHエージェントは、復号されたプライベートキーをメモリ上に保持し、ユーザーの代わりに認証チャレンジに応答するプロセスです。エージェント転送（OpenSSH CLIでは -A）は、それを接続経由で拡張します。転送を有効にしてiPhoneからサーバーにSSH接続すると、サーバー側に認証リクエストを電話上のエージェントにプロキシするためのソケットが作成されます。

これによる実用的な効果は以下の通りです：

リモートサーバー上で git clone [email protected]:you/private-repo.git が そのまま機能します — GitHubからの認証チャレンジは、iPhone上にあるキーによって応答されます。
踏み台サーバー（Bastion）から ssh production-db.internal を実行することも可能です。踏み台サーバー上にはキーが一切保存されません。
プライベートキー自体は、リモートサーバー上に一切存在しません。ディスク上にも、転送されたチャレンジを超えてメモリ上にも存在することはありません。明日サーバーが侵害されたとしても、攻撃者は盗めるキーを見つけることができません。

iOSでこれがさらに重要な理由

ラップトップ上であれば、ssh-agent、~/.ssh/config、そして長年の操作経験（マッスルメモリー）があります。しかしスマートフォンでは、ほとんどのSSHアプリがエージェント転送を完全に省略しているか、使い勝手が悪く、その結果、ターミナルにキーを貼り付けたり、ファイルにトークンを保存したりするような安全ではない近道にユーザーを誘導してしまいます。NeoServerは、エージェント転送を後付けの機能ではなく、ファーストクラスのオプションとして扱っています：

プライベートキーを一度NeoServerに読み込ませるだけです。 キーはFace ID / Touch IDの保護 behind でデバイス上に暗号化された状態で保存されます。
接続ごとにエージェント転送を有効化。 接続時、NeoServerはアプリ内エージェントをリモートセッションに転送します。
ラップトップと同じようにリモートサーバー上で git、scp、ssh を使用できます — 転送された資格情報がすべてのチャレンジに透過的に応答します。

典型的なセッション：リモート開発環境からプライベートリポジトリをクローンする

これは、まさにエージェント転送のために作られたワークフローです。

iPhoneのNeoServerから、エージェント転送をオンにして 開発サーバーにSSH接続します。
そのサーバー上で git clone [email protected]:yourorg/infra.git を実行します。GitHubが認証を要求すると、そのチャレンジはiPhone上のキーに転送され、自動的に応答されます。
リポジトリがクローンされます。プライベートキー、GitHubのパスワード、パーソナルアクセストークンのいずれも、開発サーバーに書き込まれることは一切ありませんでした。

同じ仕組みは、git pull、git push、SSH経由でのプライベートリポジトリとの通信、さらにはセカンドサーバーへのチェーンにも適用できます。スマートフォン上のたった1つのIDで、多数のサーバーを利用し、キーのコピーはゼロで済みます。

ホストのチェーン：踏み台サーバーから内部ホストへ

エージェント転送は合成が可能です。転送を有効にして踏み台サーバーに接続し、そこから内部ホストに接続した場合でも、内部ホストでの認証は引き続きスマートフォン上のキーによって応答されます。踏み台サーバーのセキュリティ（内部ホストの直接公開を防ぐ）を享受しながら、踏み台サーバーに認証情報を配置するという一般的な代償を払う必要がありません。NeoServerは Jump Server（ジャンプサーバー） 設定もサポートしているため、踏み台へのホップ自体を単一の保存済み接続として扱うことができます。

Moshやtmuxと組み合わせて真のモバイルワークフローを構築

エージェント転送は 資格情報 を扱うものであり、NeoServerの他の機能が 接続の回復力（レジリエンス） を担います：

Mosh はネットワークの切り替えがあってもセッションを維持するため、移動中のiPhoneでも転送されたチャネルが切断されることはありません。
tmux / zellij は、シェルをサーバー側で実行し続けます。時間のかかる git clone やデプロイも、ポケットの中でスマートフォンがスリープしても影響を受けません。
SFTP を使用すれば、アプリを切り替えることなく、クローンしたばかりのファイルの閲覧や編集を、シンタックスハイライト付きで行うことができます。

明確に述べておくべきセキュリティ上の注意

エージェント転送は強力な機能であり、強力であるがゆえに1つのルールが伴います：信頼するサーバーでのみ有効にしてください。 転送が有効な侵害されたサーバーは、セッションがオープンな間に、エージェントに対して他のホストへの認証を要求する可能性があります。NeoServerがこれを接続ごとのトグルにしているのはまさにこの理由です。自身の開発サーバーでは使用し、共有ホストや信頼できないホストではオフのままにしてください。
プライベートキーはiPhoneのローカルに保存され、あなたのプライベートなiCloud経由でのみ同期されます。NeoServerにはサードパーティのアナリティクスや広告ネットワークは一切含まれておらず、アプリはFace ID / Touch IDでロックされます。
2FA と プライベートキー 認証を組み合わせることで、エージェント転送は多層認証ストーリーの一部となります：「あなたが持っているもの（スマートフォン上のキー）」、「サーバーが一時的に借用できるもの（転送されたエージェント）」、そして「接続時の追加要素」です。

この機能を必要とする人

リモート開発マシンやCIサーバー上でプライベートリポジトリをクローンする開発者
踏み台サーバーを経由して内部ホストにアクセスするオペレーションエンジニア
「今回だけ」と自分に言い聞かせてプライベートキーを scp で送信しようとしたことがある人
共有インフラ上にキーを一切置きたくないチーム

リモートサーバーからの認証において、これまでセキュリティと利便性のどちらかを選ばなければならなかったとしたら、SSHエージェント転送はそのトレードオフを排除します。そしてNeoServerは、それをiPhoneから実現可能にします。App Storeで NeoServer を検索するか、App Store からダウンロードしてください。