信息安全探讨----SSH技术探讨

虽然SSH目前非常流行,但是SSH也不是所有网络的最终安全解决方案,认证,加密和网络安全问题早在SSH诞生前就有了

r-命令

Unix的rsh,rlogin,rcp(合称r-命令族)是SSH1(SSH1于1995年7月,以freesoftware 的形式伴随源代码一并发布)客户端ssh,slogin,scp的前身,其用户界面,功能与其对应的SSH1几乎完全一样!唯一不同的是,SSH1的客户端是安全的,r-命令则正好相反,它并不对连接进行加密,其认证的模型十分脆弱,极易被攻克.

一个r命令服务器存在两种安全机制:

1)网络名称服务和特权TCP端口.在接受客户端连接前, 服务器首先获得源主机的网络地址并将其转换成主机名,这个主机名必须在服务器的配置文件里这样,服务妻才允许该主机访问.

2)服务器还有检查访问主机的TCP端口是否小于1024,因为这些端口只能由超级用户所使用如果通过这两种检测,服务器就确信自己在和一个可信任的主机通信并允许客户端任意登陆, 如果可信任主机上的用户数据库和服务器总保持同步,特权程序的安装总能受到严格的控制, root特权只授给可信任用户,且物理网络受到了良好的保护,那么,r命令就是相当安全的由于SSH具有良好的安全特性,且SSH向后兼容r命令,那么,就没有再利用r命令的理由了!!

PGP

PGP是一个在多个计算平台上都可以用的通用加密程序,他可以对用户进行认证并对数据文件和电子邮件进行加密. SSH集成了一些和PGP类似的加密算法,但用法不同,PGP是基于文件的,通常都是在某个时刻在一台计算机上加密一个文件/email消息!而SSH则是对在internet上的计算机发出的会话进行加密!

Kerberos

Kerberos是一种安全认证系统,用于网罗可能被监视而且计算机不是中心控制的环境! kerberos和SSH的解决问题类似,但是范围有很大不同!SSH是一种轻量级的解决方案, 容易部署,目标是在现行的系统上不需要多大的修改就可以使用!而Kerberos则不同, 在使用之前必须要构建一些重要基础!,他还用于SSH之外的目的,包括集中控制帐号数据库访问控制列表和层次化认证模型 SSH和Kerberos之间的另外一个区别九十SSH增加客户端程序的安全性的方法!对于那些直接打开网络连接的程序来说,SSH的端口转发则提供了另外一种方便的集成方式, 而Kerberos包含了一套可编程的库来对其应用程序增加认证和加密功能!

IPSEC

IPSEC(Internet Protocol Security,internet协议安全性)是解决网络安全性的一份逐步修订的internet标准!IPSEC由IETF工作组开发,包含在IP层实现的认证和加密,IP层在网络层次里比SSH更低!,对于终端用户来说是完全透明的,用户不需要使用 SSH之类的特定程序来获得安全性,IPSEC的存在可以确保网络通信受到底层系统的自动保护,IPSEC可以从一个主机经由一个不可信网络安全的连接到远程网络,也可连接到整个网络,这就是所谓的VPN(虚拟专用网络)的思想! 作为一个解决方案,SSH比IPSEC更快捷更容易部署,因为SSH只是一个简单的应用程序, SSH还提供用户认证而IPSEC则之只能处理单个主机,另外,IPSEC是最基本的一种保护方法,可以处理一些SSH不能处理的内容.

SRP

SRP(SEcure Remote Password,安全远程密码)协议是一种和SSH有很大区别的安全协议, SRP是一种专用的认证协议,而SSH则包括认证,加密,完整性,会话管理等内容,SSH是这些内容的综合体,而SRP本身不是一种完整的安全解决方案,SRP设计的目的是提高使用密码进行认证模型的安全性,并保留了很多理想的实用优点.而且SRP还提供了严格的双方相互认证,客户端只需要记住简单的很短的密码.

SSL

SSL(Secure Socket Layer,安全套接字层协议)是一种认证和加密技术它用Berkeley 套接字风格的API为TCP客户端提供安全服务.SSL最初由Netscape开发,用于Web客户端和服务器之间增加HTTP的安全性,这就是SSL的主要用途! 采用SSL的程序通常使用一个通用的数字证书来表明自己的身分,数字证书是一串密码数据, SSL主要用于WEB应用程序,如果没有可信任第三方发的数字证书,那么,就是不是安全的! 防火墙防火墙是用来防止特定的数据进入或者离开一个网络的硬件设备或软件程序,可以屏蔽那些不是来自特定网络地址的TCP/IP的数据包防火墙并不能替代SSH或者其他认证和加密方法,但是他们可以解决相似的问题!