基于SSH的网络安全解决方案

Ｉｎｔｅｒｎｅｔ是当今广泛使用的计算机网络，ＴＣＰ／ＩＰ协议则是Ｉｎｔｅｒｎｅｔ采用的核心网络通信协议。由于ＴＣＰ／ＩＰ协议本身缺乏可靠的安全机制以及Ｉｎｔｅｒｎｅｔ的开放性，其安全性就显得更加脆弱。目前有多种网络安全的解决方案，分别实现在ＴＣＰ／ＩＰ协议栈的不同层次上：在物理层上使用机械或电器方法防止信息被非法窃取，如电磁泄漏保护；在数据链路层上使用硬件加密设备直接加／解密链路两端的数据或采用用于组建远程访问ＶＰＮ的安全协议ＰＰＴＰ和Ｌ２ＴＰ创建安全通道；在网络层上通过基于ＩＰＳｅｃ规范的安全协议实现各种方式的ＶＰＮ；在传输层使用ＳＳＬ，ＴＬＳ等安全协议提供端对端的安全通讯；在应用层则可以实现对某些特殊服务进行单独保护，如Ｓ－ＨＴＴＰ等。在众多的网络安全解决方案中，当然可以采用ＶＰＮ和防火墙来保护自己的信息安全。然而，除了这些措施以外，很多公司实际上遗漏了一种不起眼但却很健壮有效的解决方案－－－（ＳＳＨ（Ｓｅｃｕｒｅ　Ｓｈｅｌｌ）。

１　ＳＳＨ协议

１．１　ＳＳＨ协议介绍

ＳＳＨ，即Ｓｅｃｕｒｅ　Ｓｈｅｌｌ，是一种介于传输层和应用层之间的加密隧道协议，具有Ｃ／Ｓ的体系结构。ＳＳＨ可以在本地主机和远程服务器之间设置"加密隧道"，并且这样设置的"加密隧道"可以跟常见的ＦＴＰ，ＳＭＴＰ，ＰＯＰ应用程序，Ｘ应用程序相结和。目的是要在非安全的网络上提供安全的远程登陆和相应的网络安全服务。既然ＳＳＨ是以提供安全服务为目标的协议，其中必不可少的是一套完备的密匙机制。由于ＳＳＨ协议是面向互联网中主机之间的互访　与信息交换，所以主机密匙成为基本的密匙机制。即ＳＳＨ要求每一个使用本协议的主机都必须至少有一个自己的主机密匙对，服务器方通过对客户方主机密匙的认证之后，才允许其连接请求。一个主机可以使用多个密匙，针对不同的密匙算法而拥有不同的密匙。

ＳＳＨ在运行方式上，不像其他ＴＣＰ／ＩＰ应用，被设计为工作于自己的基础之上，而不是利用包装（Ｗｒａｐｐｅｒｓ）或通过Ｉｎｔｅｒｎｅｔ守护进程ｉｎｅｔｄ运行。

１．２　ＳＳＨ协议工作机制

根据ＩＥＴＦ关于ＳＳＨ草案的定义，ＳＳＨ协议包含３个组成部分（层次）。

（１）传输层协议（ＳＳＨ－ＴＲＡＮＳ）

ＳＳＨ的传输层协议负责进行服务器认证，数据加密和完整性保护，并可以提供数据压缩的功能。ＳＳＨ传输层协议是建立在提供"底层"可靠的ＴＣＰ连接之上的，当然，也可以用在其他可靠的数据流协议中。传输层的认证是基于主机的（并非面向用户的认证），目的就在于为真正的上层应用提供安全保证。当ＳＳＨ用在ＴＣＰ／ＩＰ协议上时，ＳＳＨ服务器一端一般会监听ＴＣＰ２２端口，一旦客户端和服务器端的ＴＣＰ连接建立起来，ＳＳＨ传输层协议就开始发挥作用了。在这个阶段，客户端和服务器要约定使用的ＳＳＨ协议版本，要协商选定双方都支持的认证算法、加密算法、哈希算法和数据压缩算法。协商好认证算法和密匙交换方法后，服务器端会向客户端发送自己的主机密匙（ＨｏｓｔＫｅｙ），即服务器的公匙（ＰｕｂｌｉｃＫｅｙ），以验证服务器的身份。双方还要依据协商好的加密算法生成一次性加密密匙，用于对整个商变更加密密匙。此外，传输层协议需要生成一个会话ＩＤ（Ｓｅｓｓｉｏｎ　Ｉｄｅｎｔｉｆｉｅｒ），用于惟一标识本次会话连接。等所有这些过程结束后，客户端就可以向服务器发送服务请求了，服务器接受２类请求：用户认证服务（ＳＳＨ－ＵＳＥＲＡＵＴＨ）和连接服务（ＳＳＨ－ＣＯＭＭＥＣＴＩＯＮ）。

ＳＳＨ支持的公匙算法有ＤＳＡ和ＲＳＡ，支持的对称密匙算法包括ＤＥＳ，３ＤＥＳ，Ｂｌｏｗｆｉｓｈ，Ｔｗｏｆｉｓｈ，ＩＤＥＡ，ＡＲＣＦＯＵＲ和ＣＡＳＴ－１２８，支持的哈希算法有ＳＨＡ－１，ＭＤ５等，支持Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ密匙交换方法。

（２）用户认证协议（ＳＳＨ－ＵＸＥＲＡＵＴＨ）

用户认证协议是建立在传输层协议之上的，当用户进行认证时，假定底层（传输层）协议已经提供了数据完整性和机密性保护。用户认证协议接受传输层协议确定的会话ＩＤ，作为本次会话过程的惟一标识。服务器首先会发起用户认证，他他会告诉客户端服务器所支持的认证方式，客户端可以从中选择。一旦用户认证成功，根据客户端的请求，服务器将会启动相应的服务（在连接协议建立的逻辑通道中进行数据传输）。ＳＳＨ支持的用户认证方法包括：公匙认证方法、口令认证方法、基于主机的认证和ＰＡＭ认证等。

（３）连接协议（ＳＳＨ－ＣＯＮＮＥＣＴ）

连接协议可以提供交互的Ｓｈｅｌｌ会话，支持远程命令执行，提供ＴＣＰ端口以及Ｘ１１连接转发功能。通过将惟一一个加密隧道（ｔｕｎｎｅｌ）多路复用成若干个逻辑通道，提供给更高层的应用协议使用。逻辑通道是由两端的通道号来惟一标识的。要启动某个应用服务，首先要建立一个新的逻辑通道，这期间，先要分配两端的通道号，协商缓存窗口的大小，然后是建立正式的会话，启动应用程序。各种高层应用协议可以相对独立于ＳＳＨ基本体系之外，并依靠这个基本框架，通过连接协议使用ＳＳＨ的安全机制。

１．３　核心算法

以ＳＳＨ协议２．０为例，其常用公匙算法ＲＳＡ或ＤＳＡ进行身份认证，用对称密匙算法３ＤＥＳ进行传输数据加密，　用Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ密匙协议算法交换密匙，用散列函数ＳＨＡ－１或ＭＤ５进行完整性检测，用ｚｌｉｂ进行数据压缩。

２　具体应用及安全模型

具体应用时，ＳＳＨ可以提供３类服务：

２．１　安全远程登录和安全远程命令执行：替代传统的ｔｅｌｎｅｔ和ｒｌｏｇｉｎ，ｒｓｈ命令

网络遭受攻击，很多情况是由于服务器提供了Ｔｅｌｎｅｔ服务引起的。对于ＵＮＩＸ系统，如果要远程管理他，必定要使用远程终端，而要使用远程终端，自然要在服务器上启动Ｔｅｌｎｅｔ服务。但是Ｔｅｌｎｅｔ服务有一个致命的弱点他以明文的方式传输用户名及口令，所以，很容易被第三者窃取口令。一种有效代替Ｔｅｌｎｅｔ服务的工具就是ＳＳＨ。用户要登录到远程计算机用户账号中，可以使用命令：

＃ｓｓｈ　ｕｓｅｒｎａｍｅ＠ｒｅｍｏｔｅｃｏｍｐｕｔｅｒ

整个登录会话在客户端和服务器之间传输时都是经过加密的，从而实现了安全远程登录。

对系统管理员来说，如果要查看局域网中４台计算机（Ａ，Ｂ，Ｃ，Ｄ）上的每个用户启动的进程，按传统方法，可以使用ｒｓｈ：

＃！／ｂｉｎ／ｓｈ

ｆｏｒ　ｍａｃｈｉｎｅ　ｉｎ　Ａ　Ｂ　ＣＤｄｏ

ｒｓｈ￥ｍａｃｈｉｎｅ／ｕｓｒ／ｕｃｂ／ｗ

ｄｏｎｅ

虽然这种方法可以达到目的，却不安全。／ｕｓｒ／ｕｃｂ／ｗ的结果在网络上是明文传输的。可以利用ＳＳＨ代替ＲＳＨ，实现安全远程命令执行。

来源：维库开发网