(Translated by https://www.hiragana.jp/)
Secure Shell - 维基百科，自由的百科全书
维基百科

Secure Shell

用よう于安全数ぜんすう据すえ通信つうしん的てき密みつ码网络协议，远程外がい壳服务或命令めいれい执行以及两台联网计算机つくえ之の间的其他安全あんぜん网络服ふく务
  「SSH」重定しげさだ向むかい至いたる此。關せき於简称しょう为“SSH”的てきWeb开发框かまち架か，詳しょう見みstruts、Spring Framework或あるHibernate。

安全あんぜん外がい壳协议（Secure Shell Protocol，简称SSH）是ぜ一いち种加密みつ的てき网络传输协议，可か在ざい不安ふあん全的ぜんてき网络中ちゅう为网络服务提供ていきょう安全あんぜん的てき传输环境[1]。SSH通どおり过在网络中ちゅう建立こんりゅう安全あんぜん隧道すいどう（英えい语：secure channel）来らい实现SSH客きゃく户端与あずか服ふく务器之の间的连接[2]。SSH最さい常つね见的用途ようと是ぜ远程登とう录系统，人にん们通常つうじょう利用りようSSH来らい传输命令めいれい行ぎょう界面かいめん和かず远程执行命令めいれい。SSH使用しよう频率最高さいこう的てき场合是ぜ类Unix系けい统，但ただし是これWindows操作そうさ系けい统也能のう有ゆう限度げんど地ち使用しようSSH。2015年ねん，微ほろ软宣布せんぷ将はた在ざい未来みらい的てき操作そうさ系けい统中提供ていきょう原生げんせいSSH协议支持しじ[3]，Windows 10 1803版本はんぽん已やめ提供ていきょうOpenSSH工具こうぐ[4]。

在ざい设计上じょう，SSH是ぜTelnet和かず非ひ安全あんぜんshell的てき替がえ代品だいひん。Telnet和わBerkeley rlogin（英えい语：rlogin）、rsh、rexec（英えい语：Remote Process Execution）等とう协议采さい用よう明文あきふみ传输，使用しよう不可ふか靠もたれ的てき密みつ码，容易ようい遭到监听、嗅探和わ中ちゅう间人攻おさむ击[5]。SSH旨むね在ざい保ほ证非安全あんぜん网络环境（例れい如互联网）中ちゅう信しんじ息いき加か密みつ完かん整せい可か靠もたれ。

不ふ过，SSH也被指出さしで有ゆう被ひ嗅探甚至解かい密みつ的てき漏も洞ほら。早はや在ざい2011年ねん，中國ちゅうごく的てき網もう際ぎわ網もう路ろ審しん查機構きこう已やめ經けい有能ゆうのう力りょく針はり對たいSSH連れん線せん的てき刺とげ探さがせ及干擾。[6][7]而後爱德华·斯诺登とう泄露的てき文ぶん件けん也指出で，美国びくに国家こっか安全あんぜん局きょく有ゆう时能够把SSH协议传输的てき信しん息いき解かい密みつ出来でき，从而读出SSH会かい话的传输内容ないよう[8]。2017年ねん7月がつ6日にち，非ひ营利组织維基解かい密みつ确认美国びくに中央ちゅうおう情じょう报局已やめ经开发出能のう够在Windows或あるLinux操作そうさ系けい统中窃取せっしゅSSH会かい话的工具こうぐ。[9]

概がい述じゅつ

编辑

SSH以非ひ对称加か密みつ实现身み份验证[2]。身み份验证有多た种途径みち，例れい如其中ちゅう一种方法是使用自动生成的公钥-私わたし钥对来らい简单地ち加か密みつ网络连接，随ずい后きさき使用しよう密みつ码认证进行ぎょう登とう录；另一种方法是人工生成一对公钥和私钥，通つう过生成せいせい的てき密みつ钥进行ぎょう认证，这样就可以在不ふ输入密みつ码的情じょう况下登とう录。任にん何人なんにん都と可か以自行ぎょう生成せいせい密みつ钥。公おおやけ钥需要じゅよう放ひ在ざい待まち访问的てき电脑之の中なか，而对应的私わたし钥需要よう由よし用よう户自行ぎょう保管ほかん。认证过程基もと于生成せいせい出来でき的てき私わたし钥，但ただし整せい个认证过程ほど中ちゅう私わたし钥本身ほんみ不ふ会かい传输到网络中ちゅう。

SSH协议有ゆう两个主要しゅよう版本はんぽん，分ふん别是SSH-1和わSSH-2。无论是ぜ哪个版本はんぽん，核かく实未知みち密みつ钥来源みなもと都と是ぜ重要じゅうよう的てき事情じじょう，因いん为SSH只ただ验证提供ていきょう用よう户是否ひ拥有与あずか公おおやけ钥相匹ひき配はい的てき私わたし钥，只ただ要よう接受せつじゅ公こう钥而且密钥匹配はい服ふく务器就会授予许可。这样的てき话，一旦接受了恶意攻击者的公钥，那な么系统也会かい把わ攻おさむ击者视为合法ごうほう用よう户。

密みつ钥管理かんり

编辑

在ざい类Unix系けい统中なか，已やめ许可登とう录的公こう钥通常つうじょう保ほ存在そんざい用よう户 /home 目め录的 ~/.ssh/authorized_keys 文ぶん件けん中ちゅう[10]，该文件けん只ただ由ゆかりSSH使用しよう。当とう远程机つくえ器き持じ有ゆう公こう钥，而本地ち持じ有ゆう对应私わたし钥时，登とう录过程ほど不ふ再さい需要じゅよう手しゅ动输入にゅう密みつ码。另外为了额外的てき安全あんぜん性せい，私わたし钥本身ほんみ也能用よう密みつ码保护。

私わたし钥会保存ほぞん在ざい固定こてい位置いち，也可以通过命令れい行ぎょう参まいり数すう指定してい（例れい如ssh命令めいれい的てき“-i”选项）。ssh-keygen是ぜ生成せいせい密みつ钥的工具こうぐ之の一いち。

SSH也支持しじ基もと于密码的身み份验证，此时密みつ钥是自じ动生成せいせい的てき。若わか客きゃく户端和服わふく务端从未进行过身份验证，SSH未み记录服ふく务器端はし所しょ使用しよう的てき密みつ钥，那な么攻击者可か以模仿服务器端はし请求并获取密みつ码，即そく中ちゅう间人攻おさむ击。但ただし是ぜ密みつ码认证可以禁用よう，而且SSH客きゃく户端在ざい发现新しん密みつ钥或未知みち服ふく务器时会向むこう用よう户发出で警告けいこく。

应用

编辑

SSH的てき经典用途ようと是ぜ登とう入いれ到いた远程电脑中ちゅう执行命令めいれい。除じょ此之外がい，SSH也支持しじ隧道すいどう协议、端はし口こう映うつ射い和わX11连接。借か助じょSFTP或あるSCP协议，SSH还可以传输文件けん[2]。

SSH使用しよう客きゃく户端-服ふく务器模型もけい，标准端はし口こう为22[11]。服ふく务器端はし需要じゅよう开启SSH守まもり护进程ほど以便接受せつじゅ远端的てき连接，而用户需要よう使用しようSSH客きゃく户端与あずか其建立こんりゅう连接。

大だい多数たすう现代操作そうさ系けい统（包括ほうかつmacOS、大だい部分ぶぶんLinux、OpenBSD、FreeBSD、Solaris等ひとし系けい统）都と提供ていきょう了りょうSSH，包括ほうかつWindows系けい统也提供ていきょうSSH程ほど序じょ（在ざいWindows 10 1809版本はんぽん之の后きさき）。在ざい软件层次，许多关于SSH的てき专有软件、免めん費ひ軟體和わ开源软件被ひ研とぎ发出来でき，如：

  • 文ぶん件けん管理かんり软件（同どう步ふ、复制、删除等とう）。如：PuTTY和かずWindows下か的てきWinSCP、类Unix系けい统下的てきKonqueror等とう。
  • SSH客きゃく户端。

从云うん计算的てき角度かくど上じょう讲，SSH能のう够阻止そし一些因直接暴露在互联网而产生的安全问题，在ざい解かい决连接せっ问题上じょう发挥了りょう重要じゅうよう作用さよう。SSH隧道すいどう可か以在互联网、防火ぼうか墙和わ虚きょ拟机之これ间提供ていきょう一いち个安全的ぜんてき通どおり道どう[12]。

历史

编辑

1.x版本はんぽん

编辑

芬兰赫尔辛からし基もと理工りこう大学だいがく的てき塔とう图·于勒宁发现自己じこ学校がっこう存在そんざい嗅探密みつ码的网络攻おさむ击，便びん于1995年ねん编写了りょう一套保护信息传输的程序，并称其为“secure shell”，简称SSH[13]，设计目め标是取と代だい先さき前まえ的てきrlogin（英えい语：rlogin）、Telnet、FTP[14]和わrsh等ひとし安全あんぜん性せい不足ふそく的てき协议。1995年ねん7月がつ，于勒宁以免めん費ひ軟體的形まとがた式しき将はた其发布ぬの。程ほど序じょ很快流行りゅうこう起おこり来らい，截至1995年ねん底そこ，SSH的てき用よう户数已やめ经达到两万まん，遍へん布ぬの五ご十じゅう个国家こっか。

1995年ねん12月，于勒宁创立りつ了りょうSSH通信つうしん安全あんぜん公司こうし来らい继续开发和わ销售SSH。SSH的てき早期そうき版本はんぽん用よう到いた了りょう很多自由じゆう软件，例れい如GNU libgmp，但ただし后きさき来由らいゆSSH公司こうし发布的てき版本はんぽん逐渐变成了りょう专有软件。

截至2000年ねん，已やめ经有两百ひゃく万まん用よう户使用しようSSH。[15]

OpenSSH和わOSSH

编辑

1999年ねん，开发者しゃ们希望きぼう使用しよう自由じゆう版本はんぽん的てきSSH，于是重おも新しん使用しよう较旧的てき1.2.12版本はんぽん，这也是ぜ最さい后きさき一いち个采用よう开放源げん代だい码许可的てき版本はんぽん。随ずい后きさき瑞みず典てん程ほど序じょ员Björn Grönvall基もと于这个版本ほん开发了りょうOSSH。不ふ久之ひさゆき后きさき，OpenBSD的てき开发者しゃ又また在ざいGrönvall版本はんぽん的てき基もと础上进行了りょう大量たいりょう修おさむ改あらため，形成けいせい了りょうOpenSSH，并于OpenBSD 2.6一いち起おこり发行。从该版本はんぽん开始，OpenSSH又また逐渐移植いしょく到いた了りょう其他操作そうさ系けい统上面めん。[16]

截至2005年ねん，OpenSSH是ぜ唯一ゆいいつ一いち种最流行りゅうこう的てきSSH实现，而且成なり为了大量たいりょう操作そうさ系けい统的默だま认组件けん，而OSSH已やめ经过时[17]。OpenSSH仍在维护，而且已やめ经支持しじSSH-2协议。从7.6版はん开始，OpenSSH不ふ再さい支持しじSSH-1协议。

2.x版本はんぽん

编辑

2006年ねん，SSH-2协议成なり为了新しん的てき标准。与あずかSSH-1相そう比ひ，SSH-2进行了りょう一系列功能改进并增强了安全性，例れい如基于迪すすむ菲-赫爾曼密鑰交換こうかん的いくわ加か密みつ和かず基はじめ于訊息鑑別かんべつ碼的てき完かん整せい性せい检查。SSH-2还支持しじ通どおり过单个SSH连接任意にんい数量すうりょう的てきshell会かい话。SSH-2协议与SSH-1不ふ兼けん容よう，由ゆかり于更加か流行りゅうこう，一いち些实现（例れい如lsh和わDropbear）只ただ支持しじSSH-2协议。

1.99版はん

编辑

RFC 4253规定支持しじ2.0及以前ぜん版本はんぽんSSH的てきSSH服ふく务器应将其原そのはら始はじめ版本はんぽん标为“1.99”[18]。“1.99”并不是ぜ实际的てき软件版本はんぽん号ごう，而是为了表示ひょうじ向こう下した兼けん容よう。

名詞めいし釋義しゃくぎ

编辑
  • SSH：泛指SSH協定きょうてい或ある實現じつげんSSH之これ軟體。
  • SSH-1：SSH協定きょうてい版本はんぽん第だい1版はん，以資與あずかSSH-2區分くぶん。其中1.3與あずか1.5版はん最さい常つね使用しよう，提つつみ及時採とSSH-1.3與あずかSSH-1.5。
  • SSH-2：SSH協定きょうてい版本はんぽん第だい2版はん，以資與あずかSSH-2區分くぶん，為ため現行げんこう最新さいしん版本はんぽん。
  • SSH1：專せん指ゆび塔とう图·于勒宁所ところ開發かいはつ“secure shell”第だい1版はん，實み作さくSSH-1協定きょうてい。
  • SSH2：專せん指ゆび塔とう图·于勒宁所ところ開發かいはつ“secure shell”第だい2版はん，實み作さくSSH-2協定きょうてい，現げん屬ぞく於SSH Communications Security該公司こうし所有しょゆう。
  • OpenSSH(OpenBSD Secure Shell)：專せん指ゆび基もと於secure shell 1.2.12版はん分ぶん支所ししょ開發かいはつ之の軟體，現行げんこう版本はんぽん已やめ停止ていし支援しえんSSH-1協定きょうてい。
  • OpenSSH /1：OpenSSH於執行しっこうSSH-1協定きょうてい行為こうい代だい稱しょう。
  • OpenSSH /2：OpenSSH於執行しっこうSSH-2協定きょうてい行為こうい代だい稱しょう。

基本きほん架か構

编辑

SSH协议框かまち架か中ちゅう最さい主要しゅよう的てき部分ぶぶん是ぜ三さん个协议：

  1. 传输层协议（The Transport Layer Protocol）：传输层协议提供ていきょう服ふく务器认证，数すう据すえ机つくえ密みつ性せい，信しん息いき完かん整せい性せい等とう的てき支持しじ。
  2. 用よう户认证协议（The User Authentication Protocol）：用よう户认证协议为服ふく务器提供ていきょう客きゃく户端的てき身み份鉴别。
  3. 连接协议（The Connection Protocol）：连接协议将はた加か密みつ的てき信しん息いき隧道すいどう复用成なり若干じゃっかん个逻辑通道どう，提供ていきょう给更高だか层的应用协议使用しよう。

同どう时还有ゆう为许多た高だか层的网络安全あんぜん应用协议提供ていきょう扩展的てき支持しじ。

各かく种高层应用よう协议可か以相对地独立どくりつ于SSH基本きほん体系たいけい之の外そと，并依靠もたれ这个基本きほん框かまち架か，通つう过连接せっ协议使用しようSSH的てき安全あんぜん机つくえ制せい。

SSH的てき安全あんぜん验证

编辑

在ざい客きゃく户端来らい看み，SSH提供ていきょう两种级别的てき安全あんぜん验证。

  • 第だい一いち种级别（基もと于密碼的安全あんぜん验证），知道ともみち帐号和かず密ひそか碼，就可以登录到远程主ぬし机つくえ，并且所有しょゆう传输的てき数すう据すえ都会とかい被ひSSH传输层协议加密みつ。但ただし是ぜ，可能かのう会かい有ゆう别的服ふく务器在ざい冒おかせ充たかし真正しんせい的てき服ふく务器，但ただし只ただ要よう客きゃく户端校こう验主机つくえ公こう钥，在ざい服ふく务器私わたし钥不泄露的てき前提ぜんてい下か就能避免被ひ「中ちゅう间人」攻おさむ击。
  • 第だい二に种级别（基もと于密みつ钥的てき安全あんぜん验证），需要じゅよう依よ靠もたれ密みつ钥，也就是ぜ你必须为自己じこ创建一いち对密钥，并把公こう钥放在ざい需要じゅよう访问的てき服ふく务器上じょう。客きゃく户端软件会かい向こう服ふく务器发出请求，请求用よう你的私わたし钥进行ぎょう安全あんぜん验证并发送使用しよう私わたし钥对会かい话ID等とう信しん息いき的てき签名。服ふく务器收おさむ到いた请求之の后きさき，先さき在ざい你在该服务器的てき用よう户根目め录下寻找你的公こう钥，然しか后きさき把わ它和你发送过来的てき公おおやけ钥进行ぎょう比ひ较，并用公こう钥检验签名めい是ぜ否いや正せい确。如果两个密みつ钥一致いっち，且签名めい正せい确，服ふく务器就认为用户登录成功せいこう。

在ざい服ふく务器端はし来らい看み，SSH也提供ていきょう安全あんぜん验证。

  • 服ふく务器将はた自己じこ的てき公おおやけ钥分发给相しょう关的客きゃく戶ど端はし，并将密みつ钥交换过程ほど中なか的てき公おおやけ开信息いき与あずか协商密みつ钥的哈希值的签名发送给客戶ど端はし，客きゃく户端将はた获取的てき服ふく务器公こう钥计算さん指ゆび纹并与其他安全あんぜん信道のぶみち获得的てき公おおやけ钥指纹相比ひ对并验证主ぬし机つくえ签名。
  • 存在そんざい一个密钥认证中心，所有しょゆう提供ていきょう服ふく务的主ぬし机つくえ都と将はた自己じこ的てき公おおやけ钥提交给认证中心ちゅうしん，公おおやけ钥认证中心ちゅうしん给服务端颁发证书，而任何なん作さく为客戶ど端的たんてき主ぬし机つくえ则只要よう保存ほぞん一份认证中心的公钥就可以了。在ざい这种模も式しき下か，服ふく务器会かい发送认证中心ちゅうしん提供ていきょう给主机つくえ的てき证书与あずか主しゅ机つくえ对密钥交换过程ほど中公ちゅうこう开信息いき的てき签名。客きゃく户端只ただ需要じゅよう验证证书的てき有效ゆうこう性せい并验证签名めい。

SSH协议的てき可か扩展性せい

编辑

SSH协议框かまち架か中ちゅう设计了りょう大量たいりょう可か扩展项，比ひ如用户自定てい义算法ほう、客きゃく户自定てい义密钥规则、高こう层扩展てん功こう能のう性せい应用协议。这些扩展大だい多た遵循IANA的てき有ゆう关规定じょう，特とく别是在ざい重要じゅうよう的てき部分ぶぶん，像ぞう命名めいめい规则和わ消息しょうそく编码方面ほうめん。

参考さんこう文献ぶんけん

编辑
  1. ^ The Secure Shell (SSH) Protocol Architecture. RFC 4251. IETF Network Working Group. 2006-01 [2017-12-02]. （原始げんし内容ないよう存そん档于2018-10-10）. 
  2. ^ 2.0 2.1 2.2 The Secure Shell (SSH) Authentication Protocol. RFC 4252. IETF Network Working Group. 2006-01 [2017-12-02]. （原始げんし内容ないよう存そん档于2017-11-19）. 
  3. ^ Peter Bright. Microsoft bringing SSH to Windows and PowerShell. Ars Technica. 2015-06-02 [2017-12-02]. （原始げんし内容ないよう存そん档于2017-06-09）. 
  4. ^ maertendMSFT. OpenSSH in Windows. docs.microsoft.com. [2019-05-11]. （原始げんし内容ないよう存そん档于2019-05-11） （美国びくに英えい语）. 
  5. ^ SSH Hardens the Secure Shell （页面存そん档备份，存そん于互联网档案あん馆）, Serverwatch.com
  6. ^ 中国ちゅうごく刺とげ探さがせ加か密みつ连接测试新しん屏へい蔽方式しき. www.solidot.org. 2011-11-21 [2021-10-24]. （原始げんし内容ないよう存そん档于2020-07-07）. 
  7. ^ Greenberg, Andy. China's Great Firewall Tests Mysterious Scans On Encrypted Connections. Forbes. [2018-02-18]. （原始げんし内容ないよう存そん档于2018-02-18） （英えい语）. 
  8. ^ Prying Eyes: Inside the NSA's War on Internet Security. Spiegel Online. 2014-12-28 [2017-12-02]. （原始げんし内容ないよう存そん档于2015-01-24）. 
  9. ^ BothanSpy. wikileaks.org. 2017-07-06 [2017-09-25]. （原始げんし内容ないよう存そん档于2017-07-08）. 
  10. ^ SSH setup manual. [2017-12-02]. （原始げんし内容ないよう存そん档于2017-07-11）. 
  11. ^ Service Name and Transport Protocol Port Number Registry. iana.org. [2017-12-02]. （原始げんし内容ないよう存そん档于2001-06-04）. 
  12. ^ Amies, A; Wu, C F; Wang, G C; Criveti, M. Networking on the cloud. IBM developerWorks. 2012 [2017-12-02]. （原始げんし内容ないよう存そん档于2013-06-14）. 
  13. ^ Tatu Ylönen. The new skeleton key: changing the locks in your network environment. 2013-04-02 [2017-12-02]. （原始げんし内容ないよう存そん档于2017-08-20）. 
  14. ^ Tatu Ylönen. SSH Port. [2017-12-02]. （原始げんし内容ないよう存そん档于2017-08-03）. 
  15. ^ Nicholas Rosasco and David Larochelle. How and Why More Secure Technologies Succeed in Legacy Markets: Lessons from the Success of SSH (PDF). Quoting Barrett（英えい语：Daniel J. Barrett） and Silverman, SSH, the Secure Shell: The Definitive Guide, O'Reilly & Associates (2001). Dept. of Computer Science, Univ. of Virginia. [2006-05-19]. （原始げんし内容ないよう存そん档 (PDF)于2006-06-25）. 
  16. ^ OpenSSH: Project History and Credits. openssh.com. 2004-12-22 [2014-04-27]. （原始げんし内容ないよう存そん档于2013-12-24）. 
  17. ^ OSSH Information for VU#419241. [2017-12-02]. （原始げんし内容ないよう存そん档于2007-09-27）. 
  18. ^ RFC 4253, section 5. Compatibility With Old SSH Versions. RFC 4253. IETF Network Working Group. 2006-01 [2017-12-02]. （原始げんし内容ないよう存そん档于2018-03-01）. 

外部がいぶ連結れんけつ

编辑
检索自じ“https://zh.wikipedia.org/w/index.php?title=Secure_Shell&oldid=82669322”