zoukankan      html  css  js  c++  java
  • 漫谈--ssh协议-中间人攻击

    1 .说明

      在开发的过程中,我们经常用ssh用来登录远程的服务器,那么ssh又是一个什么?

      SSH其实是一种网络协议,用于计算机之间的加密登录。需要指出的是,SSH只是一种协议,存在多种实现,既有商业实现,也有开源实现。本文针对的实现是OpenSSH,重点是,这是免费的,本文主要是针对类unix系统进行说明

    2. 基本用法

      1.安装

    如果你用的是redhat,fedora,centos等系列linux发行版,那么敲入以下命令:
    sudo yum install ssh 或
    sudo yum install openssh-server
    
    如果你使用的是debian,ubuntu,linux mint等系列的linux发行版,那么敲入以下命令:
    sudo apt-get install ssh 或
    sudo apt-get install openssh-server
    
    然后按照提示,安装就好了。

      2.使用,username是你的登录用户名,host是远程的主机地址或者服务器地址

    ssh username@host

      SSH的默认端口是22,也就是说,你的登录请求会送进远程主机的22端口。使用p参数,可以修改这个端口

    ssh -p1234 username@host

    3. 中间人攻击(Man-in-the-middle attack)

    SSH之所以能够保证安全,原因在于它采用了公钥加密。

    整个过程是这样的:

    (1)远程主机收到用户的登录请求,把自己的公钥发给用户。(2)用户使用这个公钥,将登录密码加密后,发送回来。(3)远程主机用自己的私钥,解密登录密码,如果密码正确,就同意用户登录。

    这个过程本身是安全的,但是实施的时候存在一个风险:如果有人截获了登录请求,然后冒充远程主机,将伪造的公钥发给用户,那么用户很难辨别真伪。因为不像https协议,SSH协议的公钥是没有证书中心(CA)公证的,也就是说,都是自己签发的。

    可以设想,如果攻击者插在用户与远程主机之间(比如在公共的wifi区域),用伪造的公钥,获取用户的登录密码。再用这个密码登录远程主机,那么SSH的安全机制就荡然无存了。这种风险就是著名的“中间人攻击”(Man-in-the-middle attack)。

      通俗说法,小明和小红是一对恋人,经常写信进行通信(没钱,买不起手机),但是有个小刚也喜欢小红,(爱情故事都有个第三者),经常偷看小红写给小明的信,小明就想出来一个办法,小明把自己的一个宝箱给小红,只有小明的钥匙才能打开,小红拿到宝箱后,就把信放在里面,锁起来然后再让快递员送还给小明,小明再用自己的钥匙打开宝箱,这时候,就算小刚贿赂快递员拿到了宝箱,没有小明的钥匙,也就打不开了。这时候就保证了信件的安全性了。但是如果小刚伪造一个假的宝箱送给小红,小红不知道这个宝箱不是小明的,但是也把信件放在了宝箱里面,小刚拿到自己伪造宝箱后,也就可以通过自己的钥匙来打开这个宝箱,也就得到了信封。其中,宝箱就是公钥,用来加密的,钥匙就是私钥,用来解密的。这就是中间人攻击

    4. 免密登录

      当你第一次登陆远程主机的时候,会有一个确认过程,一般来说,输入yes就好 了

    The authenticity of host 'host (1.1.1.1.1)' can't be established.
    
      RSA key fingerprint is 98:2e:d7:e0:de:9f:ac:67:28:c2:42:2d:37:16:58:4d.
    
      Are you sure you want to continue connecting (yes/no)?

    这段话的意思是,无法确认host主机的真实性,只知道它的公钥指纹,问你还想继续连接吗?

    所谓"公钥指纹",是指公钥长度较长(这里采用RSA算法,长达1024位),很难比对,所以对其进行MD5计算,将它变成一个128位的指纹。上例中是98:2e:d7:e0:de:9f:ac:67:28:c2:42:2d:37:16:58:4d,再进行比较,就容易多了。

    很自然的一个问题就是,用户怎么知道远程主机的公钥指纹应该是多少?回答是没有好办法,远程主机必须在自己的网站上贴出公钥指纹,以便用户自行核对。

    假定经过风险衡量以后,用户决定接受这个远程主机的公钥。

    miam原理很简单,就是用户将自己的公钥储存在远程主机上。登录的时候,远程主机会向用户发送一段随机字符串,用户用自己的私钥加密后,再发回来。远程主机用事先储存的公钥进行解密,如果成功,就证明用户是可信的,直接允许登录shell,不再要求密码。

    这种方法要求用户必须提供自己的公钥。如果没有现成的,可以直接用ssh-keygen生成一个:

    ssh-keygen

    一直回车就行了

    结束后,在.ssh/目录下会生成私钥和公钥,id_rsa是私钥,id_rsa.pub是公钥

    然后把id_rsa.pub添加至远程主机的.ssh目录下的authorized_keys

    scp .ssh/id_rsa.pub username@host:~/.ssh/  #上传至远程主机的.ssh目录下
    
    cat  id_rsa.pub >> authorized_keys #添加至authorized_keys

    如果远程主机不存在authorized_keys文件

    touch authorized_keys  #手动建一个

    添加完成后,就可以免密 登录远程主机了

  • 相关阅读:
    [转]Design Time Serialization
    啥都不说了,不枉熬油点灯了
    Eclips汉化
    FreeBSD 上用上苹果黑体,效果很棒
    使用Portupgrade
    fvwm2rc
    make.conf 配置优化
    基于FreeBSD5.4全能服务器安装(dns,ftp,apache,qmail)
    portssupfile
    关于FreeBSD 5优化的补充
  • 原文地址:https://www.cnblogs.com/s42-/p/12736463.html
Copyright © 2011-2022 走看看