Linux中用SSH配置安全远程登录的实践
摘 要: 介绍了用SSH配置安全认证、生成密钥以及实现远程登录的具体操作。 关键词: SSH协议 Telnet openSSH
系统程序员和管理员都喜欢远程登录自己的服务器,但传统的网络服务程序(如telnet、ftp、rlogin和rsh)及相关的服务在本质上都是不安全的,因为它们在网络上用明文传送口令和数据,黑客通过数据包截获工具可以截获这些口令和数据。这些服务程序的安全验证方式也存在弱点,易受到中间人(man-in-the-middle)方式的攻击。中间人攻击方式中,中间人冒充真正的服务器接收客户机发送给服务器的数据,并篡改客户机的信息后发送至真正的服务器。这使得通信过程不再安全,并且失去了传送数据的私密性。 SSH(secure shell)是一个在应用程序中提供安全通信的协议。通过SSH可以安全地访问服务器。因为SSH把所有传输的数据进行加密,确保数据的完整和不被篡改,从而确保私密性。这样中间人攻击方式就不可能实现了,而且也能够防止DNS和IP欺骗。另外,传输的数据是经过压缩的,所以可以加快传输的速度。SSH有很广泛的用途,它可代替远程登录程序Telnet,又可以为ftp、pop、甚至ppp提供安全的通道,从而在不安全的网络环境下、在客户/服务器之间提供安全和加密的信息交流。
远程运行SSH时需要远程机器正在运行SSHd(SSH守护程序),SSH的标准端口是22。由于大多数防火墙对这个端口都是禁用的,所以需要将SSH守护进程指派给Internet服务的端口上运行,因为即使最严密的防火墙也要打开21、8080、25和110中的一个。这样就可以通过大多数的防火墙来使用SSH进行远程登录。 1 SSH提供的安全认证
SSH提供二种级别的安全验证。一种是基于口令的安全验证;另一种是基于密钥的安全验证。首先生成一对密钥,将公钥安装在需要访问的服务器中。当客户端需要连接到SSH服务器时,客户端软件就会向服务器发出请求,请求用自己的密钥进行安全验证。服务器收到请求之后,先在该服务器中寻找客户端的公用密钥,然后把它和客户端发送过来的公钥进行比较。如果二个密钥相同,则SSHd生成随机数,并用公钥进行加密,然后SSHd将加密的随机数发回给正在客户端运行的SSH。SSH用私钥解密后,再把它发送回客户端。这样就完成了整个验证过程。 2 SSH的具体实现
(1)确认系统已经安装了SSH并进行测试
(2)生成管理SSH密钥
SSH的密匙是用SSH-keygen程序管理的。下面是SSH-keygen密钥生成的一个实例。
上述过程需要分别在每个用SSH连接的远程服务器上完成。为了保证他人对于authorized_keys没有写的权限并保证SSH工作,chmod是必须的。如果想从不同的计算机登录到远程主机,authorized_keys文件也可以有多个公用密匙。这种情况下必须在新的计算机上重新生成一对密匙,然后重复上述过程。需要注意的是,当取消了主机上的账号之后,必须删掉这对密匙。 3 SSH配置
(1)配置SSH客户端
OpenSSH的配置数据可以有三种语法形式,按照优先权从大到小的顺序分别是:命令行选项、用户配置文件(~/.SSH/config)、系统配置文件(/etc/SSH/SSH_config)。所有的命令行选项均能在配置文件中设置。因为任何配置值都是首次设置时有效,所以指定主机的声明应该
位于配置文件的最初,而默认值则放于文件末尾。下面是/etc/SSH/SSH_ config文件的内容,用户配置文件可以从系统配置文件修改得到。 #/etc/SSH/SSH_config文件 #Host*
# ForwardAgent no # ForwardX11 no
# RhostsAuthentication yes # RhostsRSAAuthentication yes # RSAAuthentication yes
# PasswordAuthentication yes # FallBackToRsh no # UseRsh no # BachMode no # CheckHostIP yes
# StrictHostKeyChecking ask # IdentityFile ~/.SSH/identity # IdentityFile ~/.SSH/id_rsa # IdentityFile ~/.SSH/id_dsa # Port 22
# Protocol 2,1 # Cipher 3des
# Ciphers aes128-cbc,3des-cbc,blowfish-cbc, #cast128-cbc,arcfour,aes192-cbc,aes2 # EscapeChar~ Host*
ForwardX11 yes ForwardAgent no FallBackToRsh no
#/etc/SSH/SSH_config文件到此结束 (2)配置SSH服务端
SSH服务器配置文件是/etc/SSH/SSHd_config,对于SSH 1.x和2.x,OpenSSH的配置文件是一样的。下面是
/etc/SSH/SSHd_config的内容: #/etc/SSH/SSHd_config文件 #Port 22
#Protocol 2,1
#ListenAddress 0.0.0.0 #ListenAddress ∷ # SSH1的HostKey
#HostKey/etc/SSH/SSH_host_key #记录
SyslogFacility AUTHPRIV LogLevel INFO #认证:
PermitRootLogin yes
#是否允许超级用户登录,与telnet不同,SSH缺省允许超 #级用户登录 StrictModes yes
SAAuthentication yes PubkeyAuthentication yes
AuthorizedKeysFile .SSH/authorized_keys # 禁用rhosts认证
RhostsAuthentication no
# 禁读用户的~/.rhosts和~/.shosts文件 IgnoreRhosts yes
# /etc/SSH/SSH_known_hosts中需要host keys RhostsRSAAuthentication no IgnoreUserKnownHosts no
# 把这个选项设置为no,只允许用户用基于密匙而非基于 # 口令方式登录。这能在很大程度上提高系统的安全性。 PasswordAuthentication yes PermitEmptyPasswords no #X11Forwarding no X11Forwarding yes #X11DisplayOffset 10 #X11UseLocalhost yes #PrintMotd yes #PrintLastLog yes #KeepAlive yes #UseLogin no #MaxStartups 10
# no default banner path #Banner /some/path
#VerifyReverseMapping no
# override default of no subsystems
Subsystem sftp /usr/libexec/openSSH/sftp-server # /etc/SSH/SSHd_config文件到此结束 4 SSH实现远程登录
最容易受到监听工具威胁的程序之一是Telnet,Sniffer程序可以轻易地得到用户的登录名和密码。解决的方法就是用SSH替代Telnet。它使传输中的所有信息加密,确保了传输信息不被窃听。
下面是第一次登录的情况: [gxh@cs cs]＄ SSH localhost
The authenticity of host ′localhost(127.0.0.1)′can′t be established.
RSA key fingerprint is 4b:91:0a:85:7a:ab:f6:1a:f5:51:07: 33:4d:ba:ec:e3.
Are you sure you want to continue connecting (yes/no)? yes
Warning:Permanently added ′localhost′(RSA) to the list of known hosts.
gxh@localhost′s password:
Last login:Wed Oct 2 06:53:42 2002 from 202.206.196.221 [gxh@cs cs]＄ 以后的登录情况:
[gxh@cs cs]＄ SSH localhost gxh@localhost′s password:
Last login:Wed Oct 2 09:43:16 2002 from cs [gxh@cs gxh]＄ 5 结 论
SSH广泛使用在Linux中,它的免费软件openSSH更具的生命力。Linux系统中用SSH就能实现安全的远程登录。当然对于其他的服务FTP、POP等,SSH都能安全出色地完成任务,并且SSH在其安全认证中可以采用自己独特的算法。