首页 > 网络安全 > 安全外壳协议SSH详解

安全外壳协议SSH详解

  一、SSH介绍
  SSH即安全外壳协议,英文全称是Secure Shell Protocol或Secure Shell。其运作原理跟Telnet类似,只是其具有更高的安全性。通过使用SSH,你可以把所有传输的数据进行加密,这样“中间人”这种攻击方式就不可能实现了,而且也能够防止DNS和IP欺骗。还有一个额外的好处就是传输的数据是经过压缩的,所以可以加快传输的速度。SSH有很多功能,它既可以代替telnet,又可以为ftp、pop、甚至ppp提供一个安全的“通道”。
  最初SSH是由芬兰的一家公司开发的。但是因为受版权和加密算法的限制,现在很多人都转而使用OpenSSH(http://www.openssh.com/)。OpenSSH是SSH的替代软件,而且是免费的,可以预计将来会有越来越多的人使用它而不是SSH。为方便学习,本文以SSH为例进行相关知识介绍。
  二、SSH产生的背景
  传统的网络服务程序,如:Ftp、Pop和Telnet在本质上都是不安全的,因为它们在网络上用明文传送口令和数据,别有用心的人非常容易就可以截获这些口令和数据。而且这些服务程序的安全验证方式也是有其弱点的,就是很容易受到“中间人”(man-in-the-middle)这种方式的攻击。所谓“中间人”的攻击方式,就是“中间人”冒充真正的服务器接收你的传给服务器的数据,然后再冒充你把数据传给真正的服务器。当前很多网络攻击者都会采用这种手段。为防止“中间人”攻击,SSH应运而生。
  三、SSH的安全验证是如何工作的
  从客户端来看,SSH提供两种级别的安全验证。
  第一种级别(基于口令的安全验证)只要你知道自己帐号和口令,就可以登录到远程主机。所有传输的数据都会被加密,但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器,也就是受到“中间人”这种方式的攻击。
  第二种级别(基于密匙的安全验证)需要依靠密匙,也就是你必须为自己创建一对密匙,并把公用密匙放在需要访问的服务器上。如果你要连接到SSH服务器上,客户端软件就会向服务器发出请求,请求用你的密匙进行安全验证。服务器收到请求之后,先在你在该服务器的家目录下寻找你的公用密匙,然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致,服务器就用公用密匙加密“质询”(challenge)并把它发送给客户端软件。客户端软件收到“质询”之后就可以用你的私人密匙解密再把它发送给服务器。
  用这种方式,你必须知道自己密匙的口令。但是,与第一种级别相比,第二种级别不需要在网络上传送口令。
  第二种级别不仅加密所有传送的数据,而且“中间人”这种攻击方式也是不可能的(因为他没有你的私人密匙)。但是整个登录的过程可能需要10秒。
  四、SSH主要组成部分:
  传输层协议SSH-TRANS:提供了服务器认证,保密性及完整性。此外它有时还提供压缩功能。SSH-TRANS通常运行在TCP/IP连接上,也可能用于其它可靠数据流上。 SSH-TRANS提供了强力的加密技术、密码主机认证及完整性保护。该协议中的认证基于主机,并且该协议不执行用户认证。更高层的用户认证协议可以设计为在此协议之上。
  用户认证协议SSH-USERAUTH:用于向服务器提供客户端用户鉴别功能。它运行在传输层协议SSH-TRANS上面。当SSH-USERAUTH开始后,它从低层协议那里接收会话标识符(从第一次密钥交换中的交换哈希H)。会话标识符唯一标识此会话并且适用于标记以证明私钥的所有权。SSH-USERAUTH 也需要知道低层协议是否提供保密性保护。
  连接协议SSH-CONNECT:将多个加密隧道分成逻辑通道。它运行在用户认证协议上。它提供了交互式登录话路、远程命令执行、转发TCP/IP连接和转发X11连接。
  一旦建立一个安全传输层连接,客户机就发送一个服务请求。当用户认证完成之后,会发送第二个服务请求。这样就允许新定义的协议可以与上述协议共存。连接协议提供了用途广泛的各种通道,有标准的方法用于建立安全交互式会话外壳和转发(“隧道技术”)专有 TCP/IP 端口和 X11 连接。
  五、SSH的两大部分
  SSH软件包由服务器端与客户端两大部分构成。服务器端主要是安装在被控制端,即我们需要进行远程管理的对象。而客户端就是安装在操作方的主机上。SSH软件包适用于所有的操作系统,包括微软、Linux以及思科公司的IOS操作系统等等。
  六、配制实例
  由于SSH采用了加密机制,所以其配制起来比Telnet协议要复杂一点。下面就以Cisco的防火墙服务器为例,看看如何配置SSH协议,让其在服务器上生效。
  为了让防火墙启用SSH服务,则需要通过五个步骤。
  第一步:配置防火墙主机名。
  这个步骤虽然不是启用SSH服务的必备步骤。不过,笔者还是建议用户给防火墙起一个合适的名字。当通过客户端访问SSH服务期的时候,输入名字要比输入IP地址简单的多。而且,名字也比枯燥无味的数字好记的多。故起一个容易记忆的SSH服务器名字,是SSH服务器管理的基础。
  在Cisco防火墙中,可以利用hostname命令来配置SSH服务器的名字。为了便于识别,一般在取名的时候,需要符合一定的规则。如利用“设备名称――实体名字”规则来命名。
  第二步:生成密钥对。
  在Cisco防火墙中,其建议采用的是“密钥认证安装方式”。所以,需要为其生成密钥对。这个步骤也很简单,因为防火墙中已经有默认的事项方式。管理员只需要在命令行中,输入:ca generate rsa key 1024这个命令,防火墙操作系统就会自动生成一个密钥对。密钥对生成后,管理员还需要使用命令CA SAVE ALL命令,把这个密钥对保存起来。
  这里要注意,不同的系统采用的加密机制不同,所以,生成的密钥对方式也不同。作为企业安全管理人员来说,应该对密钥生成的方式有一个统一的规划。在安全允许的情况下,最后在公司内部统一安全密钥的生成方式。这可以大大的减少我们维护的工作量。
  第三步:指定客户端的IP地址。
  Cisco防火墙为了提高远程管理的安全性,特别进行了一个IP地址的过滤。在SSH服务器上,必须指定客户端的IP地址。只有允许的Ip地址,才可以通过SSH客户端连接到SSH服务器上。
  这是一个很重要的安全控制手段。通过这种方式,则只有特定的客户端才可以利用SSH协议远程管理防火墙。而未经授权的客户端无权进行访问。这让SSH远程管理安全性更有保障。
  管理员可以利用ssh ip_adress 命令,来配置允许访问的客户端IP地址。一般情况下,只允许管理员才可以通过SSH方式访问远程主机。
  第四步:设置访问口令。
  为了保障SSH的安全,虽然已经限制了客户端,但是仍然非常有必要为其设置一个访问帐户与口令。有时候,SSH服务器也会有默认的用户名。但是,为了SSH服务器的安全,笔者强烈建议用户在第一时间把这个默认密码改掉。在第一时间更改服务器与设备的默认帐户与密码,是

转载请尊重版权,出处:秋天博客
本文链接: https://www.cfresh.net/web-security/449

  1. 还没有评论
评论提交中, 请稍候...

留言



注意: 您给他人的评论回复将通过邮件通知到对方。

可以使用的标签: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>
Trackbacks & Pingbacks ( 0 )
  1. 还没有 trackbacks