Retoin · 製品紹介

Securein Web SSH

自社開発の Web SSH ― 高セキュリティ · 高可用性 · 高速なターミナル

https://securein-web-ssh

$ ssh admin@secure-host
admin@secure-host's password:
[securein] session opened via Web SSH
admin@secure-host:~$ tail -f securein.log
[OK] PTY attached · static-bash · audit:on
admin@secure-host:~$ ▌

セキュリティのための Web SSH

運用チャネルを一か所にまとめれば、侵入経路は消えます

Linuxサーバー運用の標準ツールは、今もSSHです。しかしサーバーとアカウントが増えるほど、SSHのポート・アカウント・鍵・履歴がサーバーごとに散らばり、セキュリティも運用も管理が難しくなります。

Retoinは「簡潔さ + 制御できるコード + 予測可能なセキュリティ」を追求しています。そのため外部のSSHクライアントに頼るだけでなく、ブラウザひとつでSSHターミナルを提供する独自のWeb SSH、Securein（セキュレイン）を開発しました。

リモートログインのポート（SSH、RDPなど）をネットワークからなくせば、アカウント乗っ取り、ポートスキャン、自動攻撃ボットなど、外部からの侵入経路のほとんどが消えます。Secureinは運用チャネルをブラウザベースのWeb SSHコンソール一か所にまとめ、「攻撃対象領域の徹底的な縮小 + 集中管理 + セッション単位の監査」を同時に実現するよう設計されています。

概要

Securein Web SSH は、Retoinが自ら設計・実装した自社開発の Web SSH です。

ブラウザひとつでLinuxサーバーにSSHターミナル接続
Secure WebCore Engineベースの管理Webコンソール + TOTP二要素認証 + 管理対象サーバーでの第3認証
管理対象のローカルサーバーでは、Secureinのセッションは静的ビルドのbashのみを使用
運用対象のローカルサーバーのOSリモートログインを、物理コンソール（モニター / キーボード）以外は完全に遮断しても運用可能
実行されたすべてのコマンドと画面出力を、セッション単位で集中記録し監査が可能
Webベースでありながら、WindowsのSSHクライアントと同等の体感速度

エンジンの構成要素

Retoin Securein Web SSH アーキテクチャの概要

Admin Web Console

Secure WebCore Engine

HTTPS / TLS + TOTP二要素認証

Web SSH Engine

WebSocket · PTY Stream

WebSocket バイナリストリーム

Local Server

Static-bash + PTY

Static-bashセッションによる集中監査と高セキュリティ運用

Securein Web SSH ├─ Admin Web Console │ ├─ HTTPS/TLS 通信 │ ├─ TOTP 二要素認証 │ └─ 最大3段階の認証構造 （管理対象サーバーでの第3認証を含む） │ ├─ Web SSH Engine │ ├─ WebSocketベースの PTY ストリーム │ ├─ リアルタイムのターミナル描画 （xterm.js） │ └─ セッション状態 & コマンド記録の管理 │ ├─ Session Recorder & Audit │ ├─ キー入力 / 画面出力をセッション単位で記録 │ ├─ サーバー別・アカウント別のコマンド履歴照会 │ └─ 問題 / インシデント分析用の監査ログ │ └─ Local Server ├─ Static-bash Session （Secureinのセッションは静的ビルドのbashのみを使用） ├─ Linux PTY に直接接続 └─ OSリモートログイン遮断ポリシーと併用できる運用チャネル

リアルタイム Web SSH ストリームエンジン

PTY と WebSocket を直接つなぎます

SecureinはSSHを呼び出して使うWebツールではなく、Linux PTYとWebSocketを直接接続する独自のストリームエンジンを使います。

サーバー側の静的bash + PTYセッション → WebSocketのバイナリフレームに直結
制御フレーム（リサイズ、ハートビート、終了）とテキストストリームを分離して処理
ブラウザではxterm.jsベースのターミナルでリアルタイム描画
キー入力 → サーバー → 画面出力までの経路を最小化し、ネイティブSSH並みの応答性を確保

1本のWebSocket接続で、制御フレームとPTYストリームを分離して処理する構造

[Client] Browser (xterm.js) ├─ キー入力 → WebSocket (binary) └─ WebSocket (binary) → ターミナル描画 [Server] Securein Web SSH Engine ├─ 0xFF + JSON : 制御フレーム （resize, close, heartbeat） └─ それ以外のバイト : PTY テキストストリーム [Local Server] └─ Static-bash + PTY ├─ Secureinのセッションは常に静的ビルドのbash上で動作 └─ ライブラリ破損・panic状態でも復旧用接続の可能性を最大化

セキュリティ・運用上の主なメリット

「OSリモートログインを物理コンソール以外で完全に遮断しても運用できる構造」

リモートログインの遮断管理対象ローカルサーバーのSSH / RDPなどOSリモートログインを、物理コンソール（モニター / キーボード）以外は完全に遮断するポリシーを構成できます。
運用チャネルの一元化公式の運用チャネルをSecurein Web SSHコンソールひとつにまとめ、攻撃対象領域を徹底的に減らしながら、安定した運用・点検を維持します。
シンプルな経路各セッションは静的ビルドのbash + Linux PTY + WebSocketで直接接続され、途中に不要なスタックを置きません。
情報の分散保管各ローカルサーバーを管理する顧客アカウント・ポリシー情報はサーバー内にのみ置き、マスターには最小限の接続 / セッション情報だけを保持します。
セッション単位の監査Secureinコンソールで実行されたコマンドと画面出力はすべてセッション単位で集中記録され、誰が・いつ・どのサーバーで・どのコマンドを実行したかを監査できます。

最大3段階の認証構造（3FA）

Secure WebCore Engineベースの管理Webコンソール、TOTP二要素認証、管理対象サーバーでの第3認証までを含む、最大3段階の認証構造を提供します。

管理Webコンソールの ID / パスワード認証まず管理Webコンソールのアカウントで認証します。
TOTP 時間ベースのワンタイムパスワード（2FA）外部の認証サービスに依存せず、サーバーで直接検証します。
管理対象ローカルサーバーでの追加認証サーバー単位のトークン / 鍵 / ポリシーなどと組み合わせられる構造です。

すべての運用セッションはこれらの認証を経た後にのみ作成され、その後のコマンドと画面出力はセッション単位で記録されます。※ 3段階の認証はポリシーに応じて柔軟に構成できます。

現在と今後

Securein Web SSH の現在と今後

運用面での価値

ブラウザひとつで数十〜数百台のLinuxサーバーにWeb SSHターミナルで接続
サーバー一覧から選ぶだけでセッションを即座に開始 → 問題発生時も接続準備の時間なしに対応
各ローカルサーバーで実行されたコマンドと画面出力がすべて集中記録され、監査とインシデント分析に活用
各サーバーの顧客別アカウント情報はサーバー内にのみ保管し、マスターには最小限の接続 / セッション情報だけを保持

※ セッション記録の保存期間・範囲は、お客様の環境とポリシーに合わせて調整できます。

Web SSHでもネイティブ並みの速度

WebSocketベースのストリームプロトコルでリアルタイム描画
ネイティブSSHクライアントと同等の体感速度
Zero-dependency・低オーバーヘッドの構造をそのまま活用
管理サーバー数が増えても、応答性と操作の遅延が最小になるよう設計

今後のロードマップ ― Retoin Fusion-T 連携

Retoin Fusion-T（自社開発のセキュリティ言語モデルAI）と連携し、Secureinのセッション・コマンドログをAIが理解して要約
AIによる異常行動の監視とアラート：普段と異なる接続・コマンドのパターンをFusion-Tが検知して通知
運用コパイロット：障害時に確認すべきログ・コマンドを自然言語で案内し、実際のコマンドまで提案