使用Openssh工具遠程管理Solaris 10

　　1.傳統(tǒng)遠程登錄安全隱患

　　在異構網絡中，很多用戶選擇Solaris 10作為網絡操作系統(tǒng)，利用其簡單的配置和用戶熟悉的圖形界面提供Internet服務，Telnet便是其提供的服務之一。Telnet最基本應用就是 用于Internet的遠程登錄，共享遠程系統(tǒng)中的資源。它可以使用戶坐在已上網的電腦鍵盤前通過網絡進入的另一臺已上網的電腦，并負責把用戶輸入的每個字符傳遞給主機，再將主機輸出的每個信息回顯在屏幕上。這種連通可以發(fā)生在同一房間里面的電腦或是在世界各范圍內已上網的電腦。Telnet服務與其他網絡應用一樣屬于客戶機/服務器模型，一旦連通后，客戶機可以享有服務器所提供的一切服務。

　　但是傳統(tǒng)的網絡服務程序telnet在本質上都是不安全的，因為它在網絡上用明文傳送口令和數(shù)據(jù)，別有用心的人非常容易就可以截獲這些口令和數(shù)據(jù)。而且，這些服務程序的安全驗證方式也是有其弱點的，就是很容易受到“中間人”（man-in-the-middle）這種方式的攻擊。所謂“中間人”的攻擊方式，就是“中間人”冒充真正的服務器接收你傳給服務器的數(shù)據(jù)，然后再冒充你把數(shù)據(jù)傳給真正的服務器。服務器和你之間的數(shù)據(jù)傳送被“中間人”轉手后做了手腳之后，就會出現(xiàn)很嚴重的問題。

　　2.SSH能保護什么

　　SSH可以防止IP地址欺騙、DNS欺騙和源路徑攻擊。SSH提供給用戶身份認證的主要方法就是使用公共密鑰加密法。根據(jù)所用SSH版本的不同，可以采用RSA或者Diffie-Helman和數(shù)字簽名標準來實現(xiàn)。也可以選擇使用各種不同的身份認證方法，包括公共密鑰法、rhosts/shosts認證法和密碼認證，這些方法都很簡單安全。的確，利用SSH即便是使用.rhosts認證方式也能確保安全性。SSH所提供的是通過網絡進入某個特定賬號的安全方法。每個用戶都擁有自己的RSA密鑰。通過嚴格的主機密鑰檢查，用戶可以核對來自服務器的公共密鑰同先前所定義的是否一致。這樣就防止了某個用戶訪問一個他沒有相應公共密鑰的主機。注意如果你想了解更多有關RSA、公共密鑰加密和身份認證的知識，只需進行很小的修補，SSH就能保護一些不安全的連接，如X窗口。這將幫助你提高所管理的網絡連接的安全性。由于SSH提供了主機身份認證，利用公共密鑰而不是IP地址，所以它使網絡更加安全可靠，并且不容易受到IP地址欺騙的攻擊。這有助于辨認連接到你系統(tǒng)上的訪問者身份，從而防止非法訪問者登錄到你的系統(tǒng)中。如果用戶或系統(tǒng)打算采用rhosts/shosts的身份認證方式，主機就面臨著公共密鑰和私人密鑰信息交換的挑戰(zhàn)。否則，就得使用其他認證方式。在認證發(fā)生之前，會話已經通過對稱密鑰技術進行了加密，如DES、三重DES、IDEA、Twofish或Blowfish。這就使得會話自身被加密，從而防止了別人在你輸入或同別人聊天時截取你的信息。同時也意味著你所輸入的密碼不會被他人讀取，因為它也被加密了。加密技術基本上可以防止有人監(jiān)聽你的數(shù)據(jù)，同時也確保了數(shù)據(jù)的完整性，即防止有人肆意篡改你的信息和數(shù)據(jù)。表1列出了SSH所能防范的網絡攻擊。

　　說明：3DES算法是系統(tǒng)加密算法，其符合OpenPGP標準。它基于DES，使用3個獨立的56bit密鑰對交換的信息進行3次DES加密，使其有效長度達到168bit。 3DES（即Triple DES）是DES向AES過渡的加密算法（1999年，NIST將3-DES指定為過渡的加密標準），是DES的一個更安全的變形。它以DES為基本模塊，通過組合分組方法設計出分組加密算法，多年來，它在對付強力攻擊時是比較安全的。

　　SSH所不能保護的網絡攻擊：盡管SSH提供了大量的安全措施，但它仍不能為你的系統(tǒng)提供完全的在線保護。SSH并不

　　能堵住所有其他端口上的全部漏洞：包括NFS攻擊等。

　　3. SSH服務器和客戶端工作流程

　　SSH服務器和客戶端工作流程如圖13-1。

圖1 SSH服務器和客戶端工作流程

　　1. SSH客戶端發(fā)出請求連接SSH服務器，通常使用22端口；

　　2. SSH檢查申請SSH客戶端數(shù)據(jù)包和IP地址；

　　3. 如果客戶端通過安全驗證，SSH服務器發(fā)送密鑰給ssh客戶；

　　4. 本地sshd守護進程將密鑰會送到遠程sshd 服務器。

　　客戶端會生成一個或者文件，其中儲存服務器的密鑰。密鑰內容通常如下：

　　server 1024 35 0744831885522065092886345918214809000874876031312

　　6632026365561406995692291726767198155252016701986067549820423736

　　3937365939987293508473066069722639711474295242507691974151195842

　　9560631766264598422692206187855359804332680624600001698251375726

　　2927556592987704211810142126175715452796748871506131894685401576

　　4183

　　另外客戶端的私有密鑰存儲在Identity 文件中。客戶端的公共密鑰存儲在Identity.pub文件中, 密鑰內容通常如下：

　　1024 37 25909842022319975817366569029015041390873694788964256567

　　2146422966722622743739836581653452906032808793901880289422764252

　　4259614636549518998450524923811481002360439473852363542223359868

　　1146192539619481853094466819335629797741580708609505877707742473

　　7311773531850692230437799694611176912728474735224921771041151

　　這樣至此為止ssh客戶端和遠程SSH服務器建立了一個加密會話。

服務器租用/服務器托管中國五強！虛擬主機域名注冊頂級提供商！15年品質保障！--億恩科技[ENKJ.COM]