SSHの「diffie-hellman-group1-sha1」エラーを安全に解決する方法

重要：group1-sha1を恒久的に有効化しない

diffie-hellman-group1-sha1は現在の標準から外れた弱い鍵交換方式です。最善策は接続先機器のファームウェア更新、SSH設定変更、または機器交換です。

データ退避などで一時的な接続が避けられない場合だけ、信頼できる隔離ネットワークからホスト単位・コマンド単位で指定します。

ssh -oKexAlgorithms=+diffie-hellman-group1-sha1 user@legacy-host

全ホストへ適用するHost *設定や、インターネット越しの利用は避けてください。接続後は設定を残さず、移行計画を立てます。

PCからRaspberry PiにSSHでの接続を試みた所、以下のメッセージが表示され接続に失敗しました。

Server does not support diffie-hellman-group1-sha1 for keyexchange

原因を調査したところ、どうもopensshの仕様変更があった模様。 openssh-6.7から KexAlgorithms のデフォルトが変更され、diffie-hellman-group1-sha1 は現在の基準より弱い鍵交換アルゴリズムなのでデフォルトで無効とされたようです。 それによって、PCにインストールされているターミナル(Poderosa バージョン4.3.10b)では対応出来なかったために発生していたようです。 しかし、Poderosaのバージョンを最新(4.3.13b)に変更してみると解決できるようで、実際に試してみたところ、特に問題なく接続できました。 ちなみに、Poderosaは既にバージョン5が出ていたんですね。 妙にグラフィカルな感じになっていて若干抵抗があったので、しばらくは4の最新版を使い続けようと思います。