ZigとGTK4で作るssh-askpass
原文は Marius により に公開されました。 このブログを購読する
Gentooツリーにあるssh-askpassはどれもX11かKDEのフルスタックを引き込んでしまうので、Zig 0.16とGTK4で自作した。バインディングは手書きで、ビルドからXを排除している。
ノートPCではhardened Gentooを使っているが、ほとんどのシステムで-skキーを使っているため、普段はssh-askpassを使うことがまずない。ただ、一つだけ必要な状況がある。通常のED25519キーのSSHキーパスフレーズをプログラムが必要としているのに、読み取る端末がない場合だ。典型的なのがgo get、あるいはgoツールチェーン全般が、TTYなしで実行されるビルド中にSSH経由でプライベートモジュールを取得するケースだ。OpenSSHはパイプ上ではプロンプトを表示できないため、SSH_ASKPASSが指すプログラムを実行し、パスフレーズの入力をウィンドウで求めるようにする。何年もの間、そのためのものは何も入れておらず、こうした場面は回避策でしのいできた。その大きな理由が、GentooのPortageが提供する選択肢にある。
~ emerge -s ssh-askpass
[ Results for search key : ssh-askpass ]
Searching...
* kde-plasma/ksshaskpass
Latest version available: 6.6.6
Latest version installed: [ Not Installed ]
Size of files: 32 KiB
Homepage: https://kde.org/plasma-desktop https://invent.kde.org/plasma/ksshaskpass
Description: Implementation of ssh-askpass with KDE Wallet integration
License: GPL-2
* lxqt-base/lxqt-openssh-askpass
Latest version available: 2.4.0
Latest version installed: [ Not Installed ]
Size of files: 19 KiB
Homepage: https://lxqt-project.org/ https://github.com/lxqt/lxqt-openssh-askpass/
Description: LXQt OpenSSH user password prompt tool
License: LGPL-2.1 LGPL-2.1+
* net-misc/gnome-ssh-askpass
Latest version available: 10.0_p1
Latest version installed: [ Not Installed ]
Size of files: 1,927 KiB
Homepage: https://www.openssh.com/
Description: GTK-based passphrase dialog for use with OpenSSH
License: BSD GPL-2
* net-misc/ssh-askpass-fullscreen
Latest version available: 1.2
Latest version installed: [ Not Installed ]
Size of files: 81 KiB
Homepage: https://github.com/atj/ssh-askpass-fullscreen
Description: A small SSH Askpass replacement written with GTK2
License: GPL-2+
* net-misc/x11-ssh-askpass
Latest version available: 1.2.4.1-r2
Latest version installed: [ Not Installed ]
Size of files: 30 KiB
Homepage: https://github.com/sigmavirus24/x11-ssh-askpass
Description: X11-based passphrase dialog for use with OpenSSH
License: HPND
[ Applications found : 5 ]これらはいずれも、我慢したくない不便さを少なくとも一つは抱えている。私のシステムはグローバルで-XというUSEフラグで運用しているため、X11を必要とするものは検討するまでもなく除外される。5つのうち、kde-plasma/ksshaskpassだけがX11への依存が一切ない。本来ならそれが当然の選択肢になるはずだが、問題はそれ以外に付随してくるものだ。Swayユーザーとして、たまにパスフレーズを入力するためだけにマシンにKDEのフルスタックを入れたくはなかったのだが、ksshaskpassをインストールするとまさにそうなってしまう。
~ # emerge -a kde-plasma/ksshaskpass
These are the packages that would be merged, in order:
Calculating dependencies... done!
Dependency resolution took 1.18 s (backtrack: 0/20).
[ebuild N ] kde-frameworks/kf-env-6
[ebuild N ] dev-libs/plasma-wayland-protocols-1.21.0 USE="-test"
[ebuild N ] dev-libs/qtkeychain-0.16.0 USE="-keyring -test"
[ebuild N ] kde-frameworks/ksecretd-services-6.27.0 USE="(-systemd)"
[ebuild N ] kde-frameworks/breeze-icons-6.27.0 USE="-test"
[ebuild N ] kde-frameworks/ki18n-6.27.0 USE="-debug -test" PYTHON_SINGLE_TARGET="python3_14 -python3_12 -python3_13"
[ebuild N ] kde-frameworks/kconfig-6.27.0 USE="dbus -debug -qml -test"
[ebuild N ] kde-frameworks/kcoreaddons-6.27.0 USE="dbus -debug -test"
[ebuild N ] kde-frameworks/kwidgetsaddons-6.27.0 USE="-debug -designer -test"
[ebuild N ] kde-frameworks/kdbusaddons-6.27.0 USE="-X -debug -test"
[ebuild N ] kde-frameworks/kwindowsystem-6.27.0 USE="wayland -X -debug -test"
[ebuild N ] app-crypt/qca-2.3.10-r1 USE="ssl -botan -debug -doc -examples -gcrypt -gpg -logger -nss -pkcs11 -sasl -softstore -test"
[ebuild N ] kde-frameworks/karchive-6.27.0 USE="crypt zstd -debug -test"
[ebuild N ] kde-frameworks/kguiaddons-6.27.0 USE="dbus wayland -X -debug -test"
[ebuild N ] kde-frameworks/kdoctools-6.27.0 USE="nls -debug -test"
[ebuild N ] kde-frameworks/kcolorscheme-6.27.0 USE="-debug"
[ebuild N ] kde-frameworks/kcrash-6.27.0 USE="-X -debug -test"
[ebuild N ] kde-frameworks/knotifications-6.27.0 USE="-debug"
[ebuild N ] kde-frameworks/kservice-6.27.0 USE="man -debug -test"
[ebuild N ] kde-frameworks/kwallet-6.27.0 USE="-debug -minimal -test"
[ebuild N ] kde-frameworks/kwallet-runtime-6.27.0 USE="(keyring) (legacy-kwallet) man -X -debug -gpg -test"
[ebuild N ] kde-plasma/ksshaskpass-6.6.6 USE="-debug"
Would you like to merge these packages? [Yes/No]次はlxqt-base/lxqt-openssh-askpassだが、これはそもそもXを直接必要とする。さらにいくつかのKDE Frameworkパッケージと、Xサポート付きでビルドされたQtを引き込むため、すでに-Xでコンパイルされているシステム上のdev-qt/qtbaseと衝突し、Portageがスロット競合で止まる。
~ # emerge -a lxqt-base/lxqt-openssh-askpass
These are the packages that would be merged, in order:
Calculating dependencies... done!
Dependency resolution took 3.10 s (backtrack: 0/20).
[ebuild R ] x11-libs/libxkbcommon-1.13.2 USE="X*"
[ebuild N ] dev-util/lxqt-build-tools-2.4.0
[ebuild N ] x11-libs/xcb-util-renderutil-0.3.10 ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/libXScrnSaver-1.2.5 USE="-doc" ABI_X86="(64) -32 (-x32)"
[ebuild N ] dev-libs/plasma-wayland-protocols-1.21.0 USE="-test"
[ebuild N ] x11-libs/xcb-util-wm-0.4.2 ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/xcb-util-0.4.1 ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/xcb-util-image-0.4.1 ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/xcb-util-cursor-0.1.6 ABI_X86="(64) -32 (-x32)"
[ebuild R ] dev-qt/qtbase-6.11.1 USE="X*"
[ebuild N ] sys-auth/polkit-qt-0.201.1
[ebuild N ] dev-libs/libqtxdg-4.4.0 USE="-test"
[ebuild N ] kde-frameworks/kf-env-6
[ebuild N ] kde-frameworks/kwindowsystem-6.27.0 USE="X wayland -debug -test"
[ebuild N ] lxqt-base/liblxqt-2.4.0 USE="backlight"
[ebuild N ] lxqt-base/lxqt-openssh-askpass-2.4.0
!!! Multiple package instances within a single package slot have been pulled
!!! into the dependency graph, resulting in a slot conflict:
dev-qt/qtbase:6
(dev-qt/qtbase-6.11.1:6/6.11.1::gentoo, installed) USE="concurrent dbus gui icu libinput libproxy network nls opengl sql sqlite ssl syslog udev vulkan wayland widgets xml (zstd) -X -accessibility -brotli -cups -custom-cflags -eglfs -evdev -gles2-only -gssapi -gtk -io-uring (-journald) -mysql -oci8 -odbc -postgres -renderdoc -sctp -test -tslib" ABI_X86="(64)"
(dev-qt/qtbase-6.11.1:6/6.11.1::gentoo, ebuild scheduled for merge) USE="X concurrent dbus gui icu libinput libproxy network nls opengl sql sqlite ssl syslog udev vulkan wayland widgets xml (zstd) -accessibility -brotli -cups -custom-cflags -eglfs -evdev -gles2-only -gssapi -gtk -io-uring (-journald) -mysql -oci8 -odbc -postgres -renderdoc -sctp -test -tslib" ABI_X86="(64)"
The following USE changes are necessary to proceed:
# required by lxqt-base/liblxqt-2.4.0::gentoo
>=kde-frameworks/kwindowsystem-6.27.0 X
# required by kde-frameworks/kwindowsystem-6.27.0::gentoo[X]
>=dev-qt/qtbase-6.11.1 X
# required by dev-qt/qtbase-6.11.1::gentoo[gui]
>=x11-libs/libxkbcommon-1.13.2 Xnet-misc/ssh-askpass-fullscreenもXを必要とする。今度はGTK2と、Xサポート付きでビルドされたCairo経由だ。
~ # emerge -a net-misc/ssh-askpass-fullscreen
These are the packages that would be merged, in order:
Calculating dependencies... done!
Dependency resolution took 2.98 s (backtrack: 0/20).
[ebuild R ] x11-libs/cairo-1.18.4-r1 USE="X*"
[ebuild N ] x11-libs/libXcomposite-0.4.7 USE="-doc" ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/libXcursor-1.2.3 USE="-doc" ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/libXdamage-1.1.7 ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-libs/libXi-1.8.3 USE="-doc" ABI_X86="(64) -32 (-x32)"
[ebuild N ] x11-themes/gnome-themes-standard-3.28-r1
[ebuild NS ] x11-libs/gtk+-2.24.33-r3 [3.24.52]
[ebuild N ] x11-themes/gtk-engines-adwaita-3.28-r1 ABI_X86="(64) -32 (-x32)"
[ebuild N ] net-misc/ssh-askpass-fullscreen-1.2
The following USE changes are necessary to proceed:
# required by x11-libs/gtk+-2.24.33-r3::gentoo
# required by x11-themes/gtk-engines-adwaita-3.28-r1::gentoo
>=x11-libs/cairo-1.18.4-r1 X
Would you like to add these changes to your config files? [Yes/No]net-misc/x11-ssh-askpassは名前の通りX11なので驚きはないし、そもそもコンパイルするために古いimakeビルドシステム、具体的にはx11-misc/xorg-cf-filesとx11-misc/imakeまで必要になる。
~ # emerge -a net-misc/x11-ssh-askpass
These are the packages that would be merged, in order:
Calculating dependencies... done!
Dependency resolution took 1.00 s (backtrack: 0/20).
[ebuild N ] app-text/rman-3.2-r2
[ebuild N ] x11-misc/xorg-cf-files-1.0.9
[ebuild N ] x11-misc/imake-1.0.10
[ebuild N ] net-misc/x11-ssh-askpass-1.2.4.1-r2
Would you like to merge these packages? [Yes/No]残るはnet-misc/gnome-ssh-askpassだった。一見するとXを一切必要としない唯一の選択肢に見えたが、実際は違った。これはX11を必要とするし、ebuildはその点で壊れているように見える。ビルドではpkg-config --libs gtk+-3.0 x11が呼ばれ、ソースはX専用のGDKヘッダであるgdk/gdkx.hをインクルードしているため、Xなしでコンパイルされたシステムではビルドに失敗する。
~ # emerge -a net-misc/gnome-ssh-askpass
These are the packages that would be merged, in order:
Calculating dependencies... done!
Dependency resolution took 0.89 s (backtrack: 0/20).
[ebuild N ~] net-misc/gnome-ssh-askpass-10.0_p1 USE="-verify-sig"
Would you like to merge these packages? [Yes/No] Yes
>>> Verifying ebuild manifests
>>> Emerging (1 of 1) net-misc/gnome-ssh-askpass-10.0_p1::guru
>>> Failed to emerge net-misc/gnome-ssh-askpass-10.0_p1, Log file:
>>> '/var/tmp/portage/net-misc/gnome-ssh-askpass-10.0_p1/temp/build.log'
>>> Jobs: 0 of 1 complete, 1 failed Load avg: 0.79, 0.57, 0.61
* Package: net-misc/gnome-ssh-askpass-10.0_p1:0
* Repository: guru
* USE: abi_x86_64 amd64 elibc_glibc kernel_linux
* FEATURES: network-sandbox preserve-libs sandbox selinux sesandbox userpriv usersandbox
>>> Unpacking source...
>>> Unpacking 'openssh-10.0p1.tar.gz' to /var/tmp/portage/net-misc/gnome-ssh-askpass-10.0_p1/work
>>> Source unpacked in /var/tmp/portage/net-misc/gnome-ssh-askpass-10.0_p1/work
>>> Preparing source in /var/tmp/portage/net-misc/gnome-ssh-askpass-10.0_p1/work/openssh-10.0p1/contrib ...
>>> Source prepared.
>>> Configuring source in /var/tmp/portage/net-misc/gnome-ssh-askpass-10.0_p1/work/openssh-10.0p1/contrib ...
>>> Source configured.
>>> Compiling source in /var/tmp/portage/net-misc/gnome-ssh-askpass-10.0_p1/work/openssh-10.0p1/contrib ...
make -j17 -l15.95 gnome-ssh-askpass3
x86_64-pc-linux-gnu-gcc -O2 -pipe -march=native `pkg-config --cflags gtk+-3.0` \
gnome-ssh-askpass3.c -o gnome-ssh-askpass3 \
`pkg-config --libs gtk+-3.0 x11`
gnome-ssh-askpass3.c:62:10: fatal error: gdk/gdkx.h: No such file or directory
62 | #include <gdk/gdkx.h>
| ^~~~~~~~~~~~
compilation terminated.
make: *** [Makefile:17: gnome-ssh-askpass3] Error 1
* ERROR: net-misc/gnome-ssh-askpass-10.0_p1::guru failed (compile phase):
* emake failedここでパッケージ化された選択肢は諦めた。X11の問題を脇に置いたとしても、これらはどれもせいぜいGTK2かGTK3だ。ちょうど以前からGTK4で何か作ってみたいと思っていたこともあり、どうせ大半がCで書かれている既存実装にパッチを当てるより、Zig 0.16とGTK4で自作することにし、ssh-askpass-zigtkと名付けた。
X11を避ける
私のシステムでGTKヘルパーが壊れる理由はヘッダにある。GTKを呼び出す標準的な方法ではGTK4のヘッダをインクルードし、それがGDKを引き込み、GDKは大半の環境で今もgdk/gdkx.hを同梱しているため、望む望まないにかかわらずX11ヘッダが入り込んでしまう。Zigの@cImportも、Cライブラリを呼び出す定石ではあるが、まさにそれらのヘッダを取り込むため同じことになる。そこでssh-askpass-zigtkでは@cImportを一切使っていない。src/gtk.zigでは、プログラムが呼び出す30ほどのGTKとGLibの関数を、手書きの素のexternプロトタイプとして宣言している。
pub const Widget = opaque {};
pub extern fn gtk_window_new() *Widget;
pub extern fn gtk_password_entry_new() *Widget;
pub extern fn gtk_editable_get_text(editable: *Widget) [*:0]const u8;
pub extern fn gtk_button_new_with_label(label: [*:0]const u8) *Widget;そのファイルの中にはgdk/gdkx.hやX11/Xlib.h由来のシンボル名は一切出てこないため、コンパイラがXヘッダを目にすることはなく、バイナリはX11なしでコンパイルされたGTK4に対してビルドでき、そのまま動作する。唯一必要になるX関連の値であるEscapeのキーシムも、gdk/gdkkeysyms.hから引っ張ってくるのではなく、0xff1bとしてハードコードしている。
GTKはGObjectの上に構築されており、親構造体を子構造体の先頭メンバとして配置することで単一継承を実現している。そのため、ウィンドウもボックスもラベルもパスワード入力欄もボタンも、ABI境界ではいずれもGtkWidget *とレイアウト互換になる。Zig側ではそれらすべてを一つのopaque {}型で代用し、すべてのウィジェット関数は同じ*Widgetを受け取り、同じ*Widgetを返す。CのABIがすでに平坦化しているものを、わざわざラッパー型の階層で再現する必要はない。
GTKに触れない部分、すなわちSSH_ASKPASS_PROMPTからダイアログ種別へのマッピングやGNOME_SSH_ASKPASS_*_COLOR変数のパースは、ユニットテスト付きでsrc/root.zigにまとめられているため、ディスプレイもGTKもなしでzig build testで実行できる。色の変更は小さなCSSプロバイダを介して行っている。GTK4ではgtk_widget_modify_fgや_bgが削除されたためだ。
クロスコンパイル
バインディングが手書きのexternで、ビルド時にGTKヘッダが一切入り込まないため、Zigは対象アーキテクチャ向けのGTK4ツールチェーンなしでも、あらゆるLinuxアーキテクチャ向けにバイナリをクロスコンパイルできる。リンク時に唯一不足するのはGTK4の共有ライブラリ自体だが、それは-Dgtk-stubでカバーしている。これはエクスポートされるシンボルがすべて何もしないスタブのlibgtk-4.so.1をビルドし、実行ファイルをそれに対してリンクしておき、実行時にはターゲット側の本物のGTK4に解決させる仕組みだ。リリースワークフローではこれを使い、1台のマシンからx86_64、aarch64、armv7、riscv64、powerpc64le、i386、loongarch64、s390x向けのバイナリを生成しているが、そのうち7つ向けのGTK4がビルドマシンにインストールされているわけではない。
注記: ssh-askpass-zigtkは、他のaskpass実装が通常行うようなキーボードのグラブを行わない。GTK3のヘルパーはgdk_seat_grabを呼び出すことで、入力中に他のクライアントがパスフレーズを読み取れないようにしているが、私の見るところGTK4ではそのインターフェースが廃止されており、Waylandではそもそもクライアントがキーボードをグラブできないと思われるため、X11なしでそれを実現するポータブルな方法はない。そのためGNOME_SSH_ASKPASS_GRAB_SERVERやGNOME_SSH_ASKPASS_GRAB_POINTER変数も効果を持たない。
コードはtty.failで公開しており、GitHubにミラーもある。タグ付けされた各リリースでは、アーキテクチャごとのLinux向けビルド済みバイナリが提供されている。使うには、バイナリをPATHの通った場所に置き、SSH_ASKPASSでそれを指すようにする。ターミナルで使う場合は、~/.profileやシェルのスタートアップファイル（私と同じZshユーザーの皆さんなら例えば~/.zshrc）に次の2行を追加すればよい。
export SSH_ASKPASS=~/.local/bin/ssh-askpass-zigtk
export SSH_ASKPASS_REQUIRE=preferOpenSSH 8.4以降で導入されたSSH_ASKPASS_REQUIRE=preferは、グラフィカルセッションが存在する限り、端末が利用可能な場合でもダイアログを使うようOpenSSHに指示する。systemdのユーザーセッションでは、同じ2つの変数を~/.config/environment.d/ssh-askpass.confに、絶対パスを使った素のKEY=VALUE形式で記述する。このファイルは~を展開もシェルを実行もしないためだ。一度ログアウトしてログインし直せば、次に端末なしでパスフレーズが必要になるssh-addやgit pull、go getでダイアログが表示されるようになる。
コメント
ログインしてコメントする