摘  要: 介紹了用SSH配置安全認證、生成密鑰以及實現遠程登錄的具體操作。

　　關鍵詞: SSH協議  Telnet  openSSH

 　　系統程序員和管理員都喜歡遠程登錄自己的服務器,但傳統的網絡服務程序(如telnet、ftp、rlogin和rsh)及相關的服務在本質上都是不安全的,因為它們在網絡上用明文傳送口令和數據,黑客通過數據包截獲工具可以截獲這些口令和數據。這些服務程序的安全驗證方式也存在弱點,易受到中間人(man-in-the-middle)方式的攻擊。中間人攻擊方式中,中間人冒充真正的服務器接收客戶機發送給服務器的數據,并篡改客戶機的信息后發送至真正的服務器。這使得通信過程不再安全,并且失去了傳送數據的私密性。

　　SSH(secure shell)是一個在應用程序中提供安全通信的協議。通過SSH可以安全地訪問服務器。因為SSH把所有傳輸的數據進行加密,確保數據的完整和不被篡改,從而確保私密性。這樣中間人攻擊方式就不可能實現了,而且也能夠防止DNS和IP欺騙。另外,傳輸的數據是經過壓縮的,所以可以加快傳輸的速度。SSH有很廣泛的用途,它可代替遠程登錄程序Telnet,又可以為ftp、pop、甚至ppp提供安全的通道,從而在不安全的網絡環境下、在客戶/服務器之間提供安全和加密的信息交流。

　　遠程運行SSH時需要遠程機器正在運行SSHd(SSH守護程序),SSH的標準端口是22。由于大多數防火墻對這個端口都是禁用的,所以需要將SSH守護進程指派給Internet服務的端口上運行,因為即使最嚴密的防火墻也要打開21、8080、25和110中的一個。這樣就可以通過大多數的防火墻來使用SSH進行遠程登錄。

1 SSH提供的安全認證

　　SSH提供二種級別的安全驗證。一種是基于口令的安全驗證;另一種是基于密鑰的安全驗證。首先生成一對密鑰,將公鑰安裝在需要訪問的服務器中。當客戶端需要連接到SSH服務器時,客戶端軟件就會向服務器發出請求,請求用自己的密鑰進行安全驗證。服務器收到請求之后,先在該服務器中尋找客戶端的公用密鑰,然后把它和客戶端發送過來的公鑰進行比較。如果二個密鑰相同,則SSHd生成隨機數,并用公鑰進行加密,然后SSHd將加密的隨機數發回給正在客戶端運行的SSH。SSH用私鑰解密后,再把它發送回客戶端。這樣就完成了整個驗證過程。

2 SSH的具體實現

　　(1)確認系統已經安裝了SSH并進行測試

　　(2)生成管理SSH密鑰

　　SSH的密匙是用SSH-keygen程序管理的。下面是SSH-keygen密鑰生成的一個實例。

　　上述過程需要分別在每個用SSH連接的遠程服務器上完成。為了保證他人對于authorized_keys沒有寫的權限并保證SSH工作,chmod是必須的。如果想從不同的計算機登錄到遠程主機,authorized_keys文件也可以有多個公用密匙。這種情況下必須在新的計算機上重新生成一對密匙,然后重復上述過程。需要注意的是,當取消了主機上的賬號之后,必須刪掉這對密匙。

3  SSH配置

　　(1)配置SSH客戶端

　　OpenSSH的配置數據可以有三種語法形式,按照優先權從大到小的順序分別是:命令行選項、用戶配置文件(~/.SSH/config)、系統配置文件(/etc/SSH/SSH_config)。所有的命令行選項均能在配置文件中設置。因為任何配置值都是首次設置時有效,所以指定主機的聲明應該位于配置文件的最初,而默認值則放于文件末尾。下面是/etc/SSH/SSH_

　　config文件的內容,用戶配置文件可以從系統配置文件修改得到。

　　#/etc/SSH/SSH_config文件

　　#Host*

    # ForwardAgent no

　　# ForwardX11 no

　　# RhostsAuthentication yes

　　# RhostsRSAAuthentication yes

　　# RSAAuthentication yes

　　# PasswordAuthentication yes

　　# FallBackToRsh no

　　# UseRsh no

　　# BachMode no

　　# CheckHostIP yes

　　# StrictHostKeyChecking ask

　　# IdentityFile ~/.SSH/identity

　　# IdentityFile ~/.SSH/id_rsa

　　# IdentityFile ~/.SSH/id_dsa

　　# Port 22

　　# Protocol 2,1

　　# Cipher 3des

　　# Ciphers aes128-cbc,3des-cbc,blowfish-cbc,

　　#cast128-cbc,arcfour,aes192-cbc,aes2

　　# EscapeChar~

　　Host*

　　ForwardX11 yes

　　ForwardAgent no

　　FallBackToRsh no

　　#/etc/SSH/SSH_config文件到此結束

　　(2)配置SSH服務端

　　SSH服務器配置文件是/etc/SSH/SSHd_config,對于SSH 1.x和2.x,OpenSSH的配置文件是一樣的。下面是

/etc/SSH/SSHd_config的內容:

　　#/etc/SSH/SSHd_config文件

　　#Port 22

　　#Protocol 2,1

　　#ListenAddress 0.0.0.0

　　#ListenAddress ∷

　　# SSH1的HostKey

　　#HostKey/etc/SSH/SSH_host_key

　　#記錄

　　SyslogFacility AUTHPRIV

　　LogLevel INFO

　　#認證:

　　PermitRootLogin yes

　　#是否允許超級用戶登錄,與telnet不同,SSH缺省允許超

    #級用戶登錄

　　StrictModes yes

　　SAAuthentication yes

　　PubkeyAuthentication yes

　　AuthorizedKeysFile .SSH/authorized_keys

　　# 禁用rhosts認證

　　RhostsAuthentication no

　　# 禁讀用戶的~/.rhosts和~/.shosts文件

　　IgnoreRhosts yes

　　# /etc/SSH/SSH_known_hosts中需要host keys

　　RhostsRSAAuthentication no

　　IgnoreUserKnownHosts no

　　# 把這個選項設置為no,只允許用戶用基于密匙而非基于

    # 口令方式登錄。這能在很大程度上提高系統的安全性。

　　PasswordAuthentication yes

　　PermitEmptyPasswords no

　　#X11Forwarding no

　　X11Forwarding yes

　　#X11DisplayOffset 10

　　#X11UseLocalhost yes

　　#PrintMotd yes

　　#PrintLastLog yes

　　#KeepAlive yes

　　#UseLogin no

　　#MaxStartups 10

　　# no default banner path

　　#Banner /some/path

　　#VerifyReverseMapping no

　　# override default of no subsystems

　　Subsystem sftp /usr/libexec/openSSH/sftp-server

　　# /etc/SSH/SSHd_config文件到此結束

4 SSH實現遠程登錄

　　最容易受到監聽工具威脅的程序之一是Telnet,Sniffer程序可以輕易地得到用戶的登錄名和密碼。解決的方法就是用SSH替代Telnet。它使傳輸中的所有信息加密,確保了傳輸信息不被竊聽。

　　下面是第一次登錄的情況:

　　[gxh@cs cs]＄ SSH localhost

　　The authenticity of host ′localhost(127.0.0.1)′can′t be established.

　　RSA key fingerprint is 4b:91:0a:85:7a:ab:f6:1a:f5:51:07:

　　33:4d:ba:ec:e3.

　　Are you sure you want to continue connecting (yes/no)? yes

　　Warning:Permanently added ′localhost′(RSA) to the list of

　　known hosts.

　　gxh@localhost′s password:

　　Last login:Wed Oct 2 06:53:42 2002 from 202.206.196.221

　　[gxh@cs cs]＄

　　以后的登錄情況:

　　[gxh@cs cs]＄ SSH localhost

　　gxh@localhost′s password:

　　Last login:Wed Oct 2 09:43:16 2002 from cs

　　[gxh@cs gxh]＄

5  結  論

　　SSH廣泛使用在Linux中,它的免費軟件openSSH更具的生命力。Linux系統中用SSH就能實現安全的遠程登錄。當然對于其他的服務FTP、POP等,SSH都能安全出色地完成任務,并且SSH在其安全認證中可以采用自己獨特的算法。