SSH：加密安全访问网络的革命性协议

最新推荐文章于 2024-06-18 08:47:09 发布

程序员小强_

最新推荐文章于 2024-06-18 08:47:09 发布

阅读量1k

点赞数 28

文章标签： ssh 安全网络

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/137735263

版权

博客前言

一.ssh介绍

1.为什么需要SSH？

2.SSH是如何工作的？

连接建立

版本协商

算法协商

密钥交换

用户认证

会话请求

会话交互

3.SSH和SSL的区别

二.实战（centos配置密钥）

2.1.ssh/里面的文件作用解释

2.1 配置SSH，打开秘钥登录功能、关闭密码登录功能（管理员做）

2.2 生成密钥对

2.4在服务器上安装公钥

博客前言

在现代信息化的世界中，数据传输和网络连接的安全性是至关重要的。SSH（Secure
Shell）协议作为保障网络通信安全的重要工具，在网络安全领域扮演着至关重要的角色。本文将深入探讨SSH

SSH（Secure
Shell，安全外壳）是一种网络安全协议，通过加密和认证机制实现安全的访问和文件传输等业务。传统远程登录和文件传输方式，例如Telnet、FTP，使用明文传输数据，存在很多的安全隐患。随着人们对网络安全的重视，这些方式已经慢慢不被接受。SSH协议通过对网络数据进行加密和验证，在不安全的网络环境中提供了安全的网络服务。作为Telnet和其他不安全远程shell协议的安全替代方案，目前SSH协议已经被全世界广泛使用，大多数设备都支持SSH功能。

一.ssh介绍

1.为什么需要SSH？

传统的互联网通信使用明文传输数据，内容一旦被截获就会完全暴露，存在很多安全隐患。SSH协议通过对网络数据进行加密和验证，建立SSH客户端和SSH服务器之间的安全隧道，在不安全的网络环境中为网络服务提供了安全的传输通道。

SSH最常用的场景是远程登录和文件传输。在SSH协议出现之前，Telnet广泛应用于远程登录场景，为远程管理网络设备提供了极大便利，而FTP作为常用的文件传输协议，兼具操作简单和传输效率高的优点，但它们都存在相同的问题，即明文传输数据带来的安全隐患。SSH采用加密传输数据、提升认证强度等手段，克服了Telnet和FTP应用中的安全性问题，实现了安全的远程登录和文件传输业务。

2.SSH是如何工作的？

SH由服务器和客户端组成，为建立安全的SSH通道，双方需要先建立TCP连接，然后协商使用的版本号和各类算法，并生成相同的会话密钥用于后续的对称加密。在完成用户认证后，双方即可建立会话进行数据交互。SSH的工作流程包括如下几个阶段。![](https://img-
blog.csdnimg.cn/direct/66579e86a35c48a5907b0762887ab5d5.png)

SSH工作流程

连接建立

SSH依赖端口进行通信。在未建立SSH连接时，SSH服务器会在指定端口侦听连接请求，SSH客户端向SSH服务器该指定端口发起连接请求后，双方建立一个TCP连接，后续会通过该端口通信。

默认情况下，SSH服务器使用端口号22。当SSH应用于[NETCONF](https://info.support.huawei.com/info-
finder/encyclopedia/zh/NETCONF.html
“NETCONF”)时，可以指定默认端口号是22或者830。SSH使用的端口号可以被更改为设备其他可用端口，更改后当前所有的连接都会断开，SSH服务器开始侦听新的端口。由于SSH默认端口号22为知名端口，在进行关键安全传输时，建议修改SSH端口号。

版本协商

SSH协议目前存在SSH1.X（SSH2.0之前的版本）和SSH2.0版本。SSH2.0协议相比SSH1.X协议来说，在结构上做了扩展，可以支持更多的认证方法和密钥交换方法，同时提高了服务能力。SSH服务器和客户端通过协商确定最终使用的SSH版本号，过程如下：

1. SSH服务器通过建立好的连接向SSH客户端发送支持的SSH版本信息。

2. SSH客户端收到版本信息后，根据自身支持的SSH版本决定使用的版本号，并将决定使用的版本号发送给SSH服务器。

3. SSH服务器判断自己是否支持客户端决定使用的版本号，从而确定版本协商是否成功。

算法协商

SSH工作过程中需要使用多种类型的算法，包括用于产生会话密钥的密钥交换算法、用于数据信息加密的对称加密算法、用于进行数字签名和认证的公钥算法和用于数据完整性保护的HMAC算法。SSH服务器和客户端对每种类型中具体算法的支持情况不同，因此双方需要协商确定每种类型中最终使用的算法，过程如下：

1. SSH服务器和客户端分别向对方发送自己支持的算法。

2.
SSH服务器和客户端依次协商每种类型中具体使用的算法。在每类算法的协商过程中，SSH服务器和客户端都会匹配出双方均支持的算法作为最终使用的算法。每类算法均匹配成功后，算法协商完成。如果某类算法全部匹配失败，则该类型的算法协商失败，这会导致SSH服务器和客户端之间算法协商失败并断开连接。

密钥交换

SSH服务器和客户端通过密钥交换算法，动态生成共享的会话密钥和会话ID，建立加密通道。会话密钥主要用于后续数据传输的加密，会话ID用于在认证过程中标识该SSH连接。

由于SSH服务器和客户端需要持有相同的会话密钥用于后续的对称加密，为保证密钥交换的安全性，SSH使用一种安全的方式生成会话密钥，由SSH服务器和客户端共同生成会话密钥，利用数学理论巧妙地实现不直接传递密钥的密钥交换，无需通过不安全通道传送该密钥，具体过程如下图所示。

1. SSH服务器生成素数G、P、服务器私钥b，并计算得到服务器公钥y=(G^b)%P。

2. SSH服务器将素数G、P、服务器公钥y发送给SSH客户端。

3. SSH客户端生成客户端私钥a，计算得到客户端公钥x=(G^a)%P。

4. SSH客户端将客户端公钥x发送给SSH服务器。

5.
SSH服务器计算得到对称密钥K=(x^{b)%P，SSH客户端计算得到对称密钥K=(y}a)%P，数学定律可以保证SSH服务器和SSH客户端生成的对称密钥相同。

用户认证

SSH客户端向SSH服务器发起认证请求，SSH服务器对SSH客户端进行认证。SSH支持以下几种认证方式：

密码（password）认证：客户端通过用户名和密码的方式进行认证，将加密后的用户名和密码发送给服务器，服务器解密后与本地保存的用户名和密码进行对比，并向客户端返回认证成功或失败的消息。
密钥（publickey）认证：客户端通过用户名，公钥以及公钥算法等信息来与服务器进行认证。
password-publickey认证：指用户需要同时满足密码认证和密钥认证才能登录。
all认证：只要满足密码认证和密钥认证其中一种即可。

SSH用户认证最基本的两种方式是密码认证和密钥认证。密码认证方式比较简单，且每次登录都需要输入用户名和密码。而密钥认证可以实现安全性更高的免密登录，是一种广泛使用且推荐的登录方式。

密码认证

密码认证的基本原理是SSH客户端使用服务器公钥对密码进行加密，SSH服务器使用服务器私钥解密后验证密码的合法性，具体过程如下图所示。

SSH密码认证登录流程

1. SSH客户端向SSH服务器发送登录请求。

2. SSH服务器将服务器公钥发送给SSH客户端。

3. SSH客户端输入密码，使用服务器公钥加密密码后发送给SSH服务器。

4. SSH服务器收到密文，使用服务器私钥解密得到密码。验证密码是否正确，如果正确则认证通过。

但是，这种认证方式存在中间人攻击的风险，如果有人截获了SSH客户端的登录请求后，冒充SSH服务器将伪造的公钥发送给SSH客户端，就可以获取到用户的登录密码。所以，在首次登录SSH服务器时，SSH客户端上会提示公钥指纹，并询问用户是否确认登录。用户确认后公钥将被保存并信任，下次访问时，SSH客户端将会核对SSH服务器发来的公钥和本地保存的是否相同。这种方式适用于公布了公钥指纹的SSH服务器以及已登录过正确SSH服务器的SSH客户端。

密钥认证

为避免中间人攻击，可以使用安全性更高的密钥认证。密钥认证的基本原理是SSH服务器使用客户端的公钥对随机内容加密，SSH客户端使用自己的私钥解密并发送给服务器以证实自己的身份，具体的过程如下图所示。

1. 在进行SSH连接之前，SSH客户端需要先生成自己的公钥私钥对，并将自己的公钥存放在SSH服务器上。

2. SSH客户端向SSH服务器发送登录请求。

3. SSH服务器根据请求中的用户名等信息在本地搜索客户端的公钥，并用这个公钥加密一个随机数发送给客户端。

4. SSH客户端使用自己的私钥对返回信息进行解密，并发送给SSH服务器。

5. SSH服务器验证SSH客户端解密的信息是否正确，如果正确则认证通过。

会话请求

认证通过后，SSH客户端向服务器发送会话请求，请求服务器提供某种类型的服务，即请求与服务器建立相应的会话。服务器根据客户端请求进行回应。

会话交互

会话建立后，SSH服务器端和客户端在该会话上进行数据信息的交互，双方发送的数据均使用会话密钥进行加解密。

3.SSH和SSL的区别

SSH和SSL都是网络安全协议，通过加密和认证提升两台设备间传输数据的安全性。但SSH和SSL的生效方式和服务目标存在差异。

SSH在两台设备间创建安全隧道，使这两台设备间可以安全地发送命令、传输数据等。例如，客户端通过SSH远程登录到一台服务器上，就可以安全地远程管理这台服务器，在服务器上执行想要的命令。

SSL则是使用SSL证书保证两台设备间安全地传输数据，而不是像SSH那样可以执行命令。例如，用户通过浏览器访问某安装了SSL证书且启用了HTTPS的服务器，浏览器和服务器之间可以安全地传输数据。

SSH就像一辆汽车，我们看不到这辆封闭的汽车里装载的是什么。而SSL就像一个封闭的集装箱，我们可以用不同的交通工具运输它，但看不到集装箱里装的是什么。

协议的工作原理、应用场景以及它如何重塑我们对网络安全的认知。

二.实战（centos配置密钥）

2.1.ssh/里面的文件作用解释

id_rsa ：私钥，别台机器想登录你，你就把私钥发给它
id_rsa.pub ：为公钥，你想登录别台机器，你就把公钥发给他，并叫他安装到authorized_keys
authorized_keys：里面记录了服务器授权的所有公钥
known_hosts：ssh会把你每个你访问过计算机的公钥(public key)都记录在~/.ssh/known_hosts。

当下次访问相同计算机时，OpenSSH会核对公钥。如果公钥不同，OpenSSH会发出警告，避免你受到DNS Hijack之类的攻击。

2.1 配置SSH，打开秘钥登录功能、关闭密码登录功能（管理员做）

编辑 /etc/ssh/sshd_config

sudo vim /etc/ssh/sshd_config
RSAAuthentication yes
PubkeyAuthentication yes

##此处便已经设置好了使用秘钥登录了，但是如果需要禁用密码登录可以进行如下设置：
PasswordAuthentication no

保存退出

重启服务
service sshd restart

2.2 生成密钥对

密钥对的生成在本地电脑或者服务器都可以。

如果，你想不同服务器共用一个密钥对，那建议在本地电脑生成，之后将公钥上传到服务器并安装就行。
如果，你想不同服务器使用不同的密钥对，那无所谓。

这边以服务器端生成密钥对举例，客户端也一样，比如windows打开cmd输入命令就行。
首先登录到服务器后，在命令行输入命令，然后一路回车就行。

##生成秘钥
ssh-keygen

第一步是确认保存秘钥的位置，一般使用默认的位置即可。
第二步是为秘钥设置一个密码，
第三步是确认密码。如果输入的话，即使被人有你的秘钥没有你的密码也是无法登录你的服务器的，这样会比较保险但也比较繁琐，直接回车表示不设置密码。
后面的信息是给出秘钥、公钥保存的位置和秘钥信息。
最终我们可以看到在/root/.ssh/目录中生成了一个隐藏目录 .ssh，里面包含两个密钥文件，id_rsa 为私钥，id_rsa.pub 为公钥。

2.4在服务器上安装公钥

首先进入 /root/.ssh/，如果没有./ssh，那就创建；

如果没有id_rsa.pub，那就上传到该目录。
然后在命令行输入以下命令安装公钥，其实就是将id_rsa.pub的内容添加到authorized_keys。

cd ~/.ssh 
cat id_rsa.pub >> authorized_keys

如此便完成了公钥的安装。 此外，为了确保连接成功，输入如下指令以保证以下文件权限正确：（可以不做）
chmod 600 authorized_keys  chmod 700 ~/.ssh

2.5登录（xshell）

![](https://img-
blog.csdnimg.cn/direct/0803d5e5a8a1454b887f68fbba2bc61d.png)![](https://img-
blog.csdnimg.cn/direct/7ee1440010e64f1798bd1f86eabb33b0.png)

题外话

初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：

2023届全国高校毕业生预计达到1158万人，就业形势严峻；

国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。

一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。

6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。

2022届大学毕业生月收入较高的前10个专业

本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。

具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。

“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。

网络安全行业特点

1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！

2、人才缺口大，就业机会多

2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。

行业发展空间大，岗位非常多

网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

行业发展空间大，岗位非常多

职业增值潜力大

网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。

从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。

黑客&网络安全如何学习

今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。

1.学习路线图

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。

2.视频教程

网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。

内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。

3.技术文档和电子书

技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。

4.工具包、面试题和源码

“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。

还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。

这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。

参考解析：深信服官网、奇安信官网、Freebuf、csdn等

内容特点：条理清晰，含图像化表示更加易懂。

内容概要：包括内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…

因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

程序员小强_

关注

28
点赞
踩
22

收藏

觉得还不错? 一键收藏
0
评论
SSH：加密安全访问网络的革命性协议

在现代信息化的世界中，数据传输和网络连接的安全性是至关重要的。SSH（SecureShell）协议作为保障网络通信安全的重要工具，在网络安全领域扮演着至关重要的角色。本文将深入探讨SSHSSH（SecureShell，安全外壳）是一种网络安全协议，通过加密和认证机制实现安全的访问和文件传输等业务。传统远程登录和文件传输方式，例如Telnet、FTP，使用明文传输数据，存在很多的安全隐患。随着人们对网络安全的重视，这些方式已经慢慢不被接受。
复制链接

扫一扫