about SSH

SSH详解


本文在于详解SSH,既然是详解,那么我将从多个方面来说。 1.原理2.怎么用3.用来干什么4.有什么用5.SSH连接建立过程6.技巧

SOCKS5 代理协议:http://baike.baidu.com/view/490489.htm

数字签名:http://www.ruanyifeng.com/blog/2011/08/whatisadigitalsignature.html shell命令:
中间人攻击(Man-in-the-middle attack):https://en.wikipedia.org/wiki/Man-in-the-middle_attack

Secure Shell

secure shell:
http://baike.baidu.com/subview/16184/5909252.htm
https://en.wikipedia.org/wiki/Secure_Shell

Secure Shell, or SSH, is a cryptographic (encrypted) network protocol to allow remote login and other network services to operate securely over an unsecured network.
SSH 为建立在应用层和传输层基础上的安全协议。SSH是目前较可靠,专为远程登录会话和其他网络服务提供安全性的协议

两种方法:

两种方法即两种验证,两种连接方式。那么就有不同的连接过程。

第一种级别(基于口令的安全验证)

只要你知道自己帐号和口令,就可以登录到远程主机。所有传输的数据都会被加密,但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器,也就是受到“中间人”这种方式的攻击。

第二种级别(基于密匙的安全验证)

需要依靠密匙,也就是你必须为自己创建一对密匙,并把公用密匙放在需要访问的服务器上。如果你要连接到SSH服务器上,客户端软件就会向服务器发出请求,请求用你的密匙进行安全验证。服务器收到请求之后,先在该服务器上你的主目录下寻找你的公用密匙,然后把它和你发送过来的公用密匙进行比较。如果两个密匙一致,服务器就用公用密匙加密“质询”(challenge)并把它发送给客户端软件。客户端软件收到“质询”之后就可以用你的私人密匙解密再把它发送给服务器。 SSH only verifies whether the same person offering the public key also owns the matching private key.

三个部分

传输层协议 [SSH-TRANS]

提供了服务器认证,保密性及完整性。此外它有时还提供压缩功能。SSH-TRANS通常运行在TCP/IP连接上,也可能用于其它可靠数据流上SSH-TRANS提供了强力的加密技术、密码主机认证及完整性保护。该协议中的认证基于主机,并且该协议不执行用户认证。更高层的用户认证协议可以设计为在此协议之上。

用户认证协议 [SSH-USERAUTH]

用于向服务器提供客户端用户鉴别功能。它运行在传输层协议SSH-TRANS上面。当SSH-USERAUTH开始后,它从低层协议那里接收会话标识符(从第一次密钥交换中的交换哈希H)。会话标识符唯一标识此会话并且适用于标记以证明私钥的所有权。 SSH-USERAUTH 也需要知道低层协议是否提供保密性保护。

连接协议 [SSH-CONNECT]

将多个加密隧道分成逻辑通道。它运行在用户认证协议上。它提供了交互式登录话路、远程命令执行、转发 TCP/IP 连接和转发 X11 连接。

结构

SSH是由客户端和服务端的软件组成的,有两个不兼容的版本分别是:1.x和2.x。 用SSH 2.x的客户程序是不能连接到SSH 1.x的服务程序上去的。OpenSSH 2.x同时支持SSH 1.x和2.x。

服务端是一个守护进程(daemon),他在后台运行并响应来自客户端的连接请求。服务端一般是sshd进程,提供了对远程连接的处理,一般包括公共密钥认证、密钥交换、对称密钥加密和非安全连接。

客户端包含ssh程序以及像scp(远程拷贝)、slogin(远程登陆)、sftp(安全文件传输)等其他的应用程序。

他们的工作机制大致是本地的客户端发送一个连接请求到远程的服务端,服务端检查申请的包和IP地址再发送密钥给SSH的客户端,本地再将密钥发回给服务端,自此连接建立。SSH 1.x和SSH 2.x在连接协议上有一些差异。 一旦建立一个安全传输层连接,客户机就发送一个服务请求。当用户认证完成之后,会发送第二个服务请求。这样就允许新定义的协议可以与上述协议共存。连接协议提供了用途广泛的各种通道,有标准的方法用于建立安全交互式会话外壳和转发(“隧道技术”)专有 TCP/IP 端口和 X11 连接。

SSH被设计成为工作于自己的基础之上而不利用超级服务器(inetd),虽然可以通过inetd上的tcpd来运行SSH进程,但是这完全没有必要。启动SSH服务器后,sshd运行起来并在默认的22端口进行监听(你可以用 # ps -waux | grep sshd 来查看sshd是否已经被正确的运行了)如果不是通过inetd启动的SSH,那么SSH就将一直等待连接请求。当请求到来的时候SSH守护进程会产生一个子进程,该子进程进行这次的连接处理。

USAGE

SSH is typically used to log into a remote machine and execute commands, but it also supports tunneling, forwarding TCP ports and X11 connections; it can transfer files using the associated SSH file transfer (SFTP) or secure copy (SCP) protocols. SSH uses the client-server model.

The standard TCP port 22 has been assigned for contacting SSH servers.

An SSH client program is typically used for establishing connections to an SSH daemon accepting remote connections.

SSH is important in cloud computing to solve connectivity problems, avoiding the security issues of exposing a cloud-based virtual machine directly on the Internet. An SSH tunnel can provide a secure path over the Internet, through a firewall to a virtual machine.

USES

SSH is a protocol that can be used for many applications across many platforms including most Unix variants (Linux, the BSDs including Apple's OS X, and Solaris), as well as Microsoft Windows.

  • For login to a shell on a remote host (replacing Telnet and rlogin)
  • For executing a single command on a remote host (replacing rsh)
  • For setting up automatic (passwordless) login to a remote server (for example, using OpenSSH[23])
  • Secure file transfer
  • In combination with rsync to back up, copy and mirror files efficiently and securely
  • For forwarding or tunneling a port (not to be confused with a VPN, which routes packets between different networks, or bridges two broadcast domains into one).
  • For using as a full-fledged encrypted VPN. Note that only OpenSSH server and client supports this feature.
  • For forwarding X from a remote host (possible through multiple intermediate hosts)
  • For browsing the web through an encrypted proxy connection with SSH clients that support the SOCKS protocol.
  • For securely mounting a directory on a remote server as a filesystem on a local computer using SSHFS.
  • For automated remote monitoring and management of servers through one or more of the mechanisms discussed above.
  • For development on a mobile or embedded device that supports SSH.

File transfer protocols

The Secure Shell protocols are used in several file transfer mechanisms.

  • Secure copy (SCP), which evolved from RCP protocol over SSH
  • rsync, intended to be more efficient than SCP
  • SSH File Transfer Protocol (SFTP), a secure alternative to FTP (not to be confused with FTP over SSH)
  • Files transferred over shell protocol (a.k.a. FISH), released in 1998, which evolved from Unix shell commands over SSH

参考:

http://www.ruanyifeng.com/blog/2011/12/sshremotelogin.html
http://www.ruanyifeng.com/blog/2011/12/sshportforwarding.html
所谓"公钥登录",原理很简单,就是用户将自己的公钥储存在远程主机上。登录的时候,远程主机会向用户发送一段随机字符串,用户用自己的私钥加密后,再发回来。远程主机用事先储存的公钥进行解密,如果成功,就证明用户是可信的,直接允许登录shell,不再要求密码。

http://wowubuntu.com/ssh-tips.html
SSH技巧