Macで、NMSSHを使ってSFTP接続できない

Question

実現したいこと

macOSで、RaspberryPiにSFTP通信をしたいのです。
CocoaPodsで、NMSSHライブラリをインストールして、実行しました。

発生している問題・分からないこと

NMSSHライブラリは、iOSでは動作を確認しましたが、macOSでは、IPアドレスの認識は成功するのですが、session.connect()のところでエラーになります。
Outgoing Connections(Client)には、チェックを入れてあります。
何かmacOSの設定があるのでしょうか？どうしてもわかりません。わかる人がいればどうか教えて下さい。

エラーメッセージ

実行結果です。

NMSSH: libssh2 (v1.6.0) initialized
NMSSH: Start 192.168.11.9 resolution
NMSSH: Socket connection to 192.168.11.9 on port 22 succesful
Connection failed
Owari
NMSSH: Failure establishing SSH session
NMSSH: Disconnected
NMSSH: Disconnected

このように、Failure establishing SSH sessionが出て繋がりません。

該当のソースコード

import NMSSH

func nmssh_ogr() {
    let host = “168.126.11.3"
    let username = "username"
    let password = “password”

    let session = NMSSHSession(host: host, andUsername: username)
    session.connect()
    if session.isConnected == true {
        session.authenticate(byPassword: password)
        print("Pass!!")
        if session.isAuthorized == true {
            print("Authentication succeeded")
            let error: NSErrorPointer = nil
            let response = session.channel.execute("ls -l", error: error)
            if response != "" {
                print("Command executed: \(response)")
            } else {
                print("Error executing command: \(error?.pointee?.localizedDescription ?? "Unknown error")")
            }
            print("OK!!")
        } else {
            print("Authentication failed")
        }
    } else {
        print("Connection failed")
    }
    session.disconnect()
    print("Owari")
}

試したこと・調べたこと

• teratailやGoogle等で検索した
• ソースコードを自分なりに変更した
• 知人に聞いた
• その他

上記の詳細・結果

同じコードをiPhoneで実行すると、動作します。
でも、macOSで動作させたい。
もしかして、Objective-Cで動くかなと思ってコードを書いて実行させて見ましたが、やはり同じ結果となりました。

補足

raspberryサーバ側のログです。
ログファイルがどれなのか見てもよくわからないですが、
多分これだと思います。 /var/log/auth.log

May 3 21:29:09 raspberrypi sshd[2259]: Unable to negotiate with 168.126.11.6 port 50268: no matching key exchange method found. Their offer: diffie-hellman-group14-sha1,diffie-hellman-group-exchange-sha1,diffie-hellman-group1-sha1 [preauth]

時間を測ったら、この1行だけがログイン失敗のところです。

------------------------- 調べました -----------------------------
MacのOSは
macOS Sonoma 14.4.1

サーバーのOSは
Raspberry Pi OS
Distributor ID: Raspbian
Description: Raspbian GNU/Linux 11 (bullseye)
Release: 11
Codename: bullseye

Raspberry Piのsshdのバージョンは
OpenSSH_8.4 Raspbian-5+deb11u3, OpenSSL 1.1.1w 11 sep 2023

Comments

[ikedas]

NMSSHで接続を開始してからエラーメッセージが表示されて失敗するまでの間の、Raspberry Piの側のSSHサーバ (おそらくsshdという名前だと思います) のログを提示してください (IPアドレスやホスト名などは伏せていただいて構いませんが、前記の期間中のログを途中を抜かしたりせず提示してください)。

ちなみに、このコメント欄に書くのではありません。質問部を編集して書いてください。

[ikedas]

auth.logでいいです。
で、sshdのプロセスはログインしてきたユーザ毎に起動されますから、ログ中では「sshd[2259]」のようにプロセスIDで区別できるようになっています。特定のユーザのログインのときのログを追いたければ、そのユーザの接続を受け付けたsshdのプロセスのログだけ抜き出してみればいいですね。

今提示されているログは、どのsshdプロセスのログもログインの途中から始まって途中で終わっていますから、実際どれが今回の問題のログなのかはっきりしないです。ログインを試してみて失敗するまでの時刻を秒単位で記録しておいてログを確認するなどして、問題のログだけ抜き出してみてください。

[ikedas]

サーバが使っている鍵交換方式がやや古く、macOS側がもはや対応していないようですね。
macOSかサーバかどちらかの設定を調整する必要がありますが、次のことを調べていただけますか。
・macOSのバージョン。
・サーバのOSの名前とバージョン。
・サーバのsshd (たぶんソフトウェアの名前としては openssh だと思います) の名前とバージョン。

連休なので、反応が少し遅れます。誰か他の人で回答される方は待たなくていいです。

[Omogo]

コメントありがとうございます。
ログの見方ですが、diffie-hellman-group14-sha1がクライアント側、diffie-hellman-group-exchange-sha1が鍵交換方式、diffie-hellman-group1-sha1がホスト側とみてよろしいんでしょうか？
ログファイルを初めて見るもので、わからないものですいません。

[ikedas]

いや、この3つとも「Their offer」(先方の申し出〔たアルゴリズム〕) だということだと思います。……macOS 14 Sonomaの方がRaspbian 5よりずっと新しいので、「先方」がmacOSのSSHクライアントのことだとすると辻褄が合わないですが。

とにかく、Sonomaになった際にSHA1を使うような古いアルゴリズムを切り捨てたということだと思うので、ラズパイのOpenSSHでも古いアルゴリズムをやめて新しいものを使うようにする必要がありますね、どんな設定をすれば良いのかについてはもう少し調べてみます。

Answer 1

解決しました。
Raspberry側（サーバ）の/etc/ssh/sshd_conf.dにtest.confを作り
KexAlgorithms +diffie-hellman-group-exchange-sha1,diffie-hellman-group14-sha1,diffie-hellman-group1-sha1
の１行を挿入しました。
iKedasさんどうもありがとうございました。

しかし、クライアント側で設定できないんでしょうかね？

Comments

[ikedas]

なんかその方法を紹介しているウェブ上のページをちょくちょく見かけるんですが、diffie-hellman-group-exchange-sha1なんかは2022年のRFC9142などいくつかの標準で、現在では強度が低すぎるので「用いるべきでない」(SHOULD NOT be used) とされているんですよね。
https://datatracker.ietf.org/doc/html/rfc9142#section-3.2.1

なので、その方式を使えるようにする設定変更というのは望ましくないのですよね。

しかし、macOS 14 Sonomaになったらなぜこんなとっくに廃用になった弱々の方式を使うようになったのかが謎です。使えなくしたというのならわかるのですが……。

個人的にもSonomaへのアップグレードを検討中なので (一度やったのだけどいろいろひどい目にあってVenturaに戻したので、慎重になっています)、引き続き調べてみようと思います。

[Omogo]

ウェブページを見ると、強度が低すぎると出てきますよね。
もしかして、ライブラリNMSSHのせいなのかもしれないですよね。
憶測なので、わかりませんが.......。こんな事書いてもいいのかな？

[ikedas]

気づいている人はたくさんいるはずなので、ここで書いても影響ないでしょう。

で、今初めて　NMSSHのGitHubリポジトリを見たのですが
> NMSSH is an Objective-C wrapper for libssh2, with a sweet API.
と書いてあって、かなり古くて今では現代的な仕様が色々不足しているlibssh2 のラッパーだということですね。

今はmacOSでもOpenSSHが標準になっていると思うので、OpenSSHと同様の仕様を使えるものを探したほうがよさそうですね。