Linux两台主机之间建立信任关系

Linux两台主机之间建立信任关系

一般用ssh命令访问另一台机器，或者用scp命令从别的机器拷贝数据和文件，都要输入对应账户的密码。而在两台机器之间建立信任关系，则可以省略输入密码的过程。

一  ： 首先来分析一下口令登陆的过程：
（转自http://www.ruanyifeng.com/blog/2011/12/ssh_remote_login.html）

远程主机收到用户的登录请求，把自己的公钥发给用户。
用户使用这个公钥，将登录密码加密后，发送回来。
远程主机用自己的私钥，解密登录密码，如果密码正确，就同意用户登录。

如果你是第一次登录对方主机，系统会出现下面的提示：

 

$ ssh user@host
　　The authenticity of host 'host (12.18.429.21)' can't be established.
　　RSA key fingerprint is 98:2e:d7:e0:de:9f:ac:67:28:c2:42:2d:37:16:58:4d.
　　Are you sure you want to continue connecting (yes/no)?1234

这段话的意思是，无法确认host主机的真实性，只知道它的公钥指纹，问你还想继续连接吗？

所谓”公钥指纹”，是指公钥长度较长（这里采用RSA算法，长达1024位），很难比对，所以对其进行MD5计算，将它变成一个128位的指纹。上例中是98:2e:d7:e0:de:9f:ac:67:28:c2:42:2d:37:16:58:4d，再进行比较，就容易多了。

很自然的一个问题就是，用户怎么知道远程主机的公钥指纹应该是多少？回答是没有好办法，远程主机必须在自己的网站上贴出公钥指纹，以便用户自行核对。

假定经过风险衡量以后，用户决定接受这个远程主机的公钥。
　　

 

Are you sure you want to continue connecting (yes/no)? yes1

系统会出现一句提示，表示host主机已经得到认可。

 

Warning: Permanently added 'host,12.18.429.21' (RSA) to the list of known hosts.1

然后，会要求输入密码。

 

　Password: (enter password)1

如果密码正确，就可以登录了。

当远程主机的公钥被接受以后，它就会被保存在文件$HOME/.ssh/known_hosts之中。下次再连接这台主机，系统就会认出它的公钥已经保存在本地了，从而跳过警告部分，直接提示输入密码。
每个SSH用户都有自己的known_hosts文件，此外系统也有一个这样的文件，通常是/etc/ssh/ssh_known_hosts，保存一些对所有用户都可信赖的远程主机的公钥。

这里我认为采用的是RSA的加密和解密方案。

二： 建立信任关系的过程
（转自 http://tobeyouth.github.io/2014/07/14/ssh-login.html）

假设现在有两台主机A和B，要在B上建立对A的信任，需要先在A主机上生成ssh-key。如果不清楚A主机是否已经有ssh-key了，可以先执行:

 

ls ~/.ssh1

看看.ssh文件夹中是否存在id_rsa,id_rsa.pub这两个文件，其中id_rsa.pub就是前面提到的公钥。

如果之前没有生成过这两个文件，那么需要执行：

 

 ssh-keygen -t rsa1

（在这里插个链接讲ssh -keygen各个参数含义的，
http://killer-jok.iteye.com/blog/1853451）

系统会弹出几个选项供选择，如果没有特殊需要，一路默认下去就行了，最后会在~/.ssh文件夹中生成我们所需要的id_rsa和id_rsa.pub，然后打印出id_rsa.pub看看

 

cat ~/.ssh/id_rsa.pub1

接下来，我们先不要关闭A主机，在另一界面登录B，查看B的.ssh文件夹下有没有authorized_keys这个文件，如果没有的话，需要新建一个：

 

vim authorized_keys1

把刚才打印出的A主机的id_rsa.pub的内容添加到其中就可以了。

至此，B对A的信任关系就算建立上了，可以在A主机上试试用ssh方式登录B看看，这个时候如果不需要输入密码，就证明信任关系已经建立成功了。

注意因为sshd有严格的权限要求，所以如果还需要输入密码的话，可以到B主机看看.ssh文件夹和authorized_keys文件的权限。

.ssh文件夹的权限应为755，authorized_keys文件的权限应为600，可以使用chmod命令来更改：

chmod 755 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
 

私以为这个过程用的是RSA的数字签名的原理，而并非加密解密原理，或者是加密和签名组合在一起处理，因为当A想要不需要密码便可以访问B的时候，需要把A的公钥放在B的可信赖文件中，当A直接ssh B的时候，B会向用户A发送一段随机字符串，A用自己的私钥加密后，再发回来。B用事先储存的公钥进行解密，如果成功，就证明用户A是可信的，直接允许登录shell，不再要求密码。

这与RSA数字签名算法的过程是吻合的，所以认为原理应该是这样的。