雲原生——上雲必讀之SSH篇(常用於遠程登錄雲服務器)

 “ 文章通過通俗易懂的方式，介紹了SSH相關基本概念，有助於讀者快速了解SSH。”

---

傳統網絡服務程序缺點

• 傳統網絡服務程序(ftp/pop/telnet)在網絡上用明文傳送口令和數據，黑客容易截獲。
• 傳統網絡服務程序的安全驗證方式容易受到中間人(man-in-the-middle)方式的攻擊。
• “中間人”方式的攻擊
  • “中間人”冒充真正的服務器接收你傳給服務器的數據，然後再冒充你把數據傳給真正的服務器。

SSH簡介

• SSH(Secure Shell)：安全外殼協議(應用層協議)
• 為遠程登錄會話等網絡服務提供安全性的協議，能有效防止遠程管理過程中的安全問題。
• SSH采用面向連接的TCP協議傳輸，端口號為22。

SSH的應用

• 使用SSH，可以把所有傳輸的數據進行加密、壓縮(傳輸更快)，杜絕中間人的攻擊方式，還能防止DNS欺騙和IP欺騙。
• SSH既可以代替Telnet，又可以為FTP、PoP、PPP提供一個安全隧道。

• 遠程登錄雲服務器進行數據傳輸作安全驗證使用。

SSH的實現方式

• OpenSSH
• PuTTY

SSH版本

• SSH是由客戶端和服務端的軟件組成的，有兩個不兼容的版本分別是：1.x和2.x。
• SSH 2.x的客戶程序無法連接到SSH 1.x的服務程序上。
• OpenSSH 2.x同時支持SSH 1.x和2.x。

SSH加密

• SSH數據傳輸——使用對稱密鑰來加密
• SSH創建連接+身份認證握手階段——使用非對稱加密
• 對稱加密，發送方和接收方使用一個共享密鑰進行加密、解密。

• 非對稱加密，發送信息加密使用公鑰，接收信息解密使用私鑰。
  • 公鑰可以發送給任何請求通信的其他人，私鑰由生成的一方自己保管，。
  • 公鑰和私鑰之間數學的特性保證公鑰加密的信息只能由私鑰解密，私鑰加密的信息不能用公鑰解密。
  • 非對稱加密的私鑰不需要暴露在網絡中，安全性較高，但加解密的速度比對稱密鑰慢得多。

SSH驗證——從客戶端看

• 口令驗證
  • ​使用帳號和口令登錄遠程主機。所有傳輸的數據被加密，但不能保證正在連接的服務器是想連接的服務器。可能會有別的服務器在冒充真正的服務器。
• 公私密鑰驗證
  • 為自己創建一對密匙，並把公用密匙放在需要訪問的服務器上。
  • 當要連接到SSH服務器上時，客戶端軟件就會向服務器發出請求，請求用自己的密匙進行安全驗證。
  • 服務器收到請求之後，先在該服務器上你的主目錄下尋找你的公用密匙，然後把它和你發送過來的公用密匙進行比較。如果兩個密匙一致，服務器就用公用密匙加密“質詢”並把它發送給客戶端軟件。
  • 客戶端軟件收到“質詢”之後就可以用你的私人密匙解密再把它發送給服務器。

SSH隧道

• SSH隧道(SSH 端口轉發)：用戶在本地主機和遠程主機進行特定端口連接的通訊技術。

• SSH端口轉發將網絡流量重定向到特定的端口/IP 地址，以便本地主機上的應用程序可以直接訪問遠程主機。

  • 目標可能比特於遠程 SSH 服務器上，或者該服務器可能配置為轉發到另一個遠程主機，以消耗傳輸效率為代價加强安全性。

• SSH隧道是IT管理員以及惡意行為者的强大工具，因為它們可以繞過企業防火牆傳輸而不被發現。因此，有一些工具可用於防止通過企業防火牆未經授權使用SSH隧道。

---

參考資料 

• https://baike.baidu.com/item/SSH/10407
• https://info.support.huawei.com/info-finder/encyclopedia/zh/SSH.html
• https://zhuanlan.zhihu.com/p/46235721
• https://www.techtarget.com/searchsecurity/definition/Secure-Shell

“我欲乘風破浪、踏遍黃沙海洋，只為無悔一場，不負勇往。” 

                                                                   ——Created By 是羽十八ya