使用Openssh工具遠程管理Solaris 10

　　1.傳統(tǒng)遠程登錄安全隱患

　　在異構(gòu)網(wǎng)絡(luò)中，很多用戶選擇Solaris 10作為網(wǎng)絡(luò)操作系統(tǒng)，利用其簡單的配置和用戶熟悉的圖形界面提供Internet服務(wù)，Telnet便是其提供的服務(wù)之一。Telnet最基本應用就是 用于Internet的遠程登錄，共享遠程系統(tǒng)中的資源。它可以使用戶坐在已上網(wǎng)的電腦鍵盤前通過網(wǎng)絡(luò)進入的另一臺已上網(wǎng)的電腦，并負責把用戶輸入的每個字符傳遞給主機，再將主機輸出的每個信息回顯在屏幕上。這種連通可以發(fā)生在同一房間里面的電腦或是在世界各范圍內(nèi)已上網(wǎng)的電腦。Telnet服務(wù)與其他網(wǎng)絡(luò)應用一樣屬于客戶機/服務(wù)器模型，一旦連通后，客戶機可以享有服務(wù)器所提供的一切服務(wù)。

　　但是傳統(tǒng)的網(wǎng)絡(luò)服務(wù)程序telnet在本質(zhì)上都是不安全的，因為它在網(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，別有用心的人非常容易就可以截獲這些口令和數(shù)據(jù)。而且，這些服務(wù)程序的安全驗證方式也是有其弱點的，就是很容易受到“中間人”（man-in-the-middle）這種方式的攻擊。所謂“中間人”的攻擊方式，就是“中間人”冒充真正的服務(wù)器接收你傳給服務(wù)器的數(shù)據(jù)，然后再冒充你把數(shù)據(jù)傳給真正的服務(wù)器。服務(wù)器和你之間的數(shù)據(jù)傳送被“中間人”轉(zhuǎn)手后做了手腳之后，就會出現(xiàn)很嚴重的問題。

　　2.SSH能保護什么

　　SSH可以防止IP地址欺騙、DNS欺騙和源路徑攻擊。SSH提供給用戶身份認證的主要方法就是使用公共密鑰加密法。根據(jù)所用SSH版本的不同，可以采用RSA或者Diffie-Helman和數(shù)字簽名標準來實現(xiàn)。也可以選擇使用各種不同的身份認證方法，包括公共密鑰法、rhosts/shosts認證法和密碼認證，這些方法都很簡單安全。的確，利用SSH即便是使用.rhosts認證方式也能確保安全性。SSH所提供的是通過網(wǎng)絡(luò)進入某個特定賬號的安全方法。每個用戶都擁有自己的RSA密鑰。通過嚴格的主機密鑰檢查，用戶可以核對來自服務(wù)器的公共密鑰同先前所定義的是否一致。這樣就防止了某個用戶訪問一個他沒有相應公共密鑰的主機。注意如果你想了解更多有關(guān)RSA、公共密鑰加密和身份認證的知識，只需進行很小的修補，SSH就能保護一些不安全的連接，如X窗口。這將幫助你提高所管理的網(wǎng)絡(luò)連接的安全性。由于SSH提供了主機身份認證，利用公共密鑰而不是IP地址，所以它使網(wǎng)絡(luò)更加安全可靠，并且不容易受到IP地址欺騙的攻擊。這有助于辨認連接到你系統(tǒng)上的訪問者身份，從而防止非法訪問者登錄到你的系統(tǒng)中。如果用戶或系統(tǒng)打算采用rhosts/shosts的身份認證方式，主機就面臨著公共密鑰和私人密鑰信息交換的挑戰(zhàn)。否則，就得使用其他認證方式。在認證發(fā)生之前，會話已經(jīng)通過對稱密鑰技術(shù)進行了加密，如DES、三重DES、IDEA、Twofish或Blowfish。這就使得會話自身被加密，從而防止了別人在你輸入或同別人聊天時截取你的信息。同時也意味著你所輸入的密碼不會被他人讀取，因為它也被加密了。加密技術(shù)基本上可以防止有人監(jiān)聽你的數(shù)據(jù)，同時也確保了數(shù)據(jù)的完整性，即防止有人肆意篡改你的信息和數(shù)據(jù)。表1列出了SSH所能防范的網(wǎng)絡(luò)攻擊。

　　說明：3DES算法是系統(tǒng)加密算法，其符合OpenPGP標準。它基于DES，使用3個獨立的56bit密鑰對交換的信息進行3次DES加密，使其有效長度達到168bit。 3DES（即Triple DES）是DES向AES過渡的加密算法（1999年，NIST將3-DES指定為過渡的加密標準），是DES的一個更安全的變形。它以DES為基本模塊，通過組合分組方法設(shè)計出分組加密算法，多年來，它在對付強力攻擊時是比較安全的。

　　SSH所不能保護的網(wǎng)絡(luò)攻擊：盡管SSH提供了大量的安全措施，但它仍不能為你的系統(tǒng)提供完全的在線保護。SSH并不

　　能堵住所有其他端口上的全部漏洞：包括NFS攻擊等。

　　3. SSH服務(wù)器和客戶端工作流程

　　SSH服務(wù)器和客戶端工作流程如圖13-1。

圖1 SSH服務(wù)器和客戶端工作流程

　　1. SSH客戶端發(fā)出請求連接SSH服務(wù)器，通常使用22端口；

　　2. SSH檢查申請SSH客戶端數(shù)據(jù)包和IP地址；

　　3. 如果客戶端通過安全驗證，SSH服務(wù)器發(fā)送密鑰給ssh客戶；

　　4. 本地sshd守護進程將密鑰會送到遠程sshd 服務(wù)器。

　　客戶端會生成一個或者文件，其中儲存服務(wù)器的密鑰。密鑰內(nèi)容通常如下：

　　server 1024 35 0744831885522065092886345918214809000874876031312

　　6632026365561406995692291726767198155252016701986067549820423736

　　3937365939987293508473066069722639711474295242507691974151195842

　　9560631766264598422692206187855359804332680624600001698251375726

　　2927556592987704211810142126175715452796748871506131894685401576

　　4183

　　另外客戶端的私有密鑰存儲在Identity 文件中�？蛻舳说墓裁荑�存儲在Identity.pub文件中, 密鑰內(nèi)容通常如下：

　　1024 37 25909842022319975817366569029015041390873694788964256567

　　2146422966722622743739836581653452906032808793901880289422764252

　　4259614636549518998450524923811481002360439473852363542223359868

　　1146192539619481853094466819335629797741580708609505877707742473

　　7311773531850692230437799694611176912728474735224921771041151

　　這樣至此為止ssh客戶端和遠程SSH服務(wù)器建立了一個加密會話。

服務(wù)器租用/服務(wù)器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]