Swift Digest
この記事の要点
- Swift サーバーエコシステム向けの新しいオープンソースプロジェクト SwiftNIO SSH（swift-nio-ssh）が発表されました。SSH ネットワークプロトコルを Swift から扱えるようにする Swift パッケージです。
- これはプログラム的な SSH 実装であり、すぐ使える SSH クライアントやサーバーを同梱するものではありません。
opensshのような完成品ではなく、libssh2のように SSH を話すエンドポイントを自作するための部品（ネットワーク層と暗号層）を提供します。 - SwiftNIO の
ChannelHandlerとして実装され、session（コマンドやシェルの実行）と TCP ポートフォワーディングをサポートします。暗号方式は Ed25519・ECDSA・AES-GCM・x25519 といったモダンなものに限定されています。 - 発表時点ではプリリリース段階ですが機能は揃っており、1.0 までに API の破壊的変更は予定されていないとされています。
何が発表されたのか
SwiftNIO SSH は、SSH プロトコルのプログラム的な実装です。すなわち、SSH を話すエンドポイントを実装するための API 群であり、openssh のような完成したクライアント・サーバーではなく、libssh2 のようにそれらを構築するための部品を提供します。
プログラム的な SSH 実装には次のような用途があります。
- 対話的なやり取りの代替: 技術者は SSH を通じてリモートマシンでコマンドを実行したり対話シェルを使ったりすることに慣れています。これらのリクエストにプログラムで応答できると、たとえば稼働中のサーバーの中に対話的なインタプリタを提供する（Twisted の Manhole が
conchを使って実現しているもの）、SSH 接続に対して通常のシェルではなくチャットルームを提供する（ssh-chat）といった、独自のやり取りを設計できます。 - サービスからのリモートコマンド実行: サービスが別のサービスとやり取りする際にコマンド実行が必要になることは珍しくありません。ローカルなら
Processで済みますが、対象がリモートの場合、sshクライアントをサブプロセスとして起動するよりも、SSH を直接呼び出すほうが簡潔です。これはlibssh2が狙うユースケースで、SwiftNIO SSH はその「ネットワーク層と暗号層」に相当する部分を提供し、Swift のサービス内から SSH セッションを直接駆動できるようにします。
何に使えるのか
サポートする機能
SwiftNIO SSH は SSHv2 を、次の機能セットでサポートします。
- すべてのセッションチャネル機能（シェルや
execのチャネルリクエストを含む） - 直接（direct）・リモート（reverse）両方向の TCP ポートフォワーディング
- モダンな暗号プリミティブのみ: 非対称暗号に Ed25519 と主要な NIST 曲線（P256・P384・P521）上の ECDSA、対称暗号に AES-GCM、鍵交換に x25519
- パスワード認証と公開鍵認証によるユーザー認証
- SwiftNIO と Swift Crypto がサポートするすべてのプラットフォーム
基本的な構造
SwiftNIO SSH は、SSH プロトコルの大部分を実装する ChannelHandler である NIOSSHHandler を提供します。利用者は SSH メッセージを直接生成するのではなく、子チャネル（child channel）とデリゲートを通じて NIOSSHHandler とやり取りします。
SSH は多重化されたプロトコルで、1 つの SSH 接続は「チャネル」と呼ばれる複数の双方向通信路に分割されます。SwiftNIO SSH はこれを「子チャネル」の抽象で表現します。相手が新しい SSH チャネルを作ると、そのチャネル上のすべての通信を表す新しい NIO Channel が作られます。1 つの子 Channel 内ではイベントが厳密に順序付けられますが、異なる Channel 間ではイベントが自由に交錯し得ます。
SSH チャネルにはチャネルタイプが指定されます。SwiftNIO SSH は次の 3 つをサポートします。
session: 最も一般的なタイプで、名前付きのプログラムやシェルの実行を表します。directTCPIP: 直接ポートフォワーディングに使います。forwardedTCPIP: リモートポートフォワーディングに使います。
SSH チャネルは単一のデータ型 SSHChannelData を扱います。これは SSH の通常データと「拡張」データの両方を表現します。session チャネルでは、通常データ（.channel）が標準入力・標準出力に、拡張データ（.stdErr）が標準エラー出力に対応します。TCP フォワーディングのチャネルでは .channel のみが使われ、フォワードされるデータそのものを表します。
主な仕組み
- チャネルイベント:
sessionチャネルはコマンドの実行を表し、その動作はインバウンドのユーザーイベントで伝えられます。コマンドの直接実行、シェルの要求、擬似端末（pseudo terminal）の要求、環境変数の設定など、主要なユースケースが幅広くカバーされます。 - ユーザー認証: ユーザー認証は一連のデリゲートプロトコルで管理されます。これらのプロトコルは完全に非同期で、認証のためにディスクから読み込む必要があるようなユースケースにも対応します。
- 直接ポートフォワーディング: クライアントからサーバーへのポートフォワーディングです。クライアントはローカルポートで待ち受け、入ってきた接続を、サーバーが特定のホスト・ポートへ外向き接続として転送するよう要求します。クライアントは
.directTCPIPチャネルタイプでこのチャネルを直接開けます。 - リモートポートフォワーディングとグローバルリクエスト: クライアントがサーバーに特定のアドレス・ポートで待ち受けるよう求め、入ってきた接続をクライアントへ転送させる、あまり一般的でない方式です。クライアントは接続スコープで機能を要求する SSH の仕組み「グローバルリクエスト」を使ってこれを要求します。グローバルリクエストは
NIOSSHHandler.sendGlobalRequestで開始し、サーバー側はGlobalRequestDelegateで受信・応答します。現在は次の 2 つがサポートされています。GlobalRequest.TCPForwardingRequest.listen(host:port:): 指定したホスト・ポートで待ち受けるようサーバーに要求するGlobalRequest.TCPForwardingRequest.cancel(host:port:): 指定したホスト・ポートでの待ち受けをやめるよう要求する
待ち受けが確立されると、入ってきた接続はサーバーからクライアントへ
.forwardedTCPIPチャネルタイプで送られます。
導入・今後の位置づけ
発表時点でこのプロジェクトはプリリリース段階です。機能は揃っている（feature complete）とされていますが、1.0 をタグ付けする前にしばらく公開の場で様子を見たいという理由から、まだ正式リリースには至っていません。ただし、それまでの間に API の破壊的変更は予定されていないとされています。
SwiftNIO SSH は完全なオープンソースプロジェクトで、GitHub 上で開発されています。議論は Swift フォーラムの server カテゴリで行え、バグ報告・機能要望・プルリクエストは GitHub リポジトリで受け付けています。