linux通过SSH连接的SSH加密原理(笔记自用)

最新推荐文章于 2024-07-15 00:21:34 发布

#姚大姚

最新推荐文章于 2024-07-15 00:21:34 发布

阅读量1k

点赞数

分类专栏： Linux/项目部署/运维文章标签： linux ubuntu centos

本文链接：https://blog.csdn.net/qq_42402648/article/details/110211590

版权

Linux/项目部署/运维专栏收录该内容

5 篇文章

订阅专栏

本文介绍了SSH协议的基本原理，包括对称加密和非对称加密的概念及其应用。详细解释了SSH连接过程中涉及的公钥验证流程及会话密钥的协商过程。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

为了理解SSH，先要介绍两个重要概念：对称加密和非对称加密。

对称加密

在对称加密中，客户端和服务端使用同一个密钥对数据进行加密和解密。这种方法的好处是加密强度高，很难破解。

缺点也很明显，即密钥本身容易被泄漏。因此，如何保存密钥成为了关键问题。于是引出了第二种加密方式：非对称加密。

非对称加密

在非对称加密中有两个密钥，公钥和私钥。

这两个密钥配对产生和使用。

用公钥加密的数据，必须用与其对应的私钥才能解开。

并且，私钥无法通过公钥获取。

因此，公钥是可以被公开的，而私钥则必须被安全存放。

在SSH中，非对称加密被用来在会话初始化阶段为通信双方进行会话密钥的协商。
由于非对称加密的计算量开销比较大，因此一旦双方的会话密钥协商完成，后续的加密都将采用对称加密来进行。

++++++++++++++++++++++++++++++++++++++++++++++++++++++
++++++++++++++++++++++++++++++++++++++++++++++++++++++
比如说 linux1 作为客户端 linux2 作为服务端 linux1 linux2 都有root用户 root用户进行linux1 和 linux2 的远程登录

客户端发起一个TCP连接，默认端口号为22.
服务端收到连接请求后，将自己的一些关键信息发给客户端。这些信息包括：

服务端的公钥：客户端在收到这个公钥后，会在自己的“known_hosts”文件进行搜索。
如果找到了相同的公钥，则说明此前连接过该服务器。
如果没有找到，则会在终端上显示一段警告信息，由用户来决定是否继续连接。

[root@localhost sh]# ssh ip
The authenticity of host 'ip (ip)' can't be established.
ECDSA key fingerprint is SHA256:TnhaloWlcB8v9jJ7QSmeK0HaFBbgJ+gAEff639wf/jM.
ECDSA key fingerprint is MD5:d1:d7:59:ea:8b:df:7a:2b:49:1c:3f:05:7f:c2:49:b5.
Are you sure you want to continue connecting (yes/no)?

服务器所支持的加密算法列表：客户端根据此列表来决定采用哪种加密算法。

生成会话密钥。此时，客户端已经拥有了服务端的公钥。接下来，客户端和服务端需要协商出一个双方都认可的密钥，并以此来对双方后续的通信内容进行加密。
接下来，客户端将自己的公钥id发送给服务端，服务端需要对客户端的合法性进行验证：

1）服务端在自己的“authorized_keys”文件中搜索与客户端匹配的公钥。

2）如果找到了，服务端用这个公钥加密一个随机数，并把加密后的结果发送给客户端。

3）如果客户端持有正确的私钥，那么它就可以对消息进行解密从而获得这个随机数。

4）客户端由这个随机数和当前的会话密钥共同生成一个MD5值。

5）客户端把MD5值发给服务端。

6）服务端同样用会话密钥和原始的随机数计算MD5值，并与客户端发过来的值进行对比。如果相等，则验证通过。

至此，通信双方完成了加密信道的建立，可以开始正常的通信了。

总结：

SSH巧妙地利用了对称加密与非对称加密各自的特点，实现了一套安全保密的远程控制协议。