ssh加密技術研究及實現_畢業(yè)論文(編輯修改稿)

　

【文章內容簡介】 果你想使用 Rhosts 認證，就讓它和 RHostsPubKey Authentication 中的公共密鑰認證結合起來使用。 RHostsPubKeyAuthentication 在安全 shell2的最新版本中 并沒有安裝這個選項。它設置基于 .rhosts 或 /etc/ 的公共密鑰認證，與 sshd1的配置文件 RhostsRSA Authentication 配置選項一致。認證不需要口令，但要求在遠程端有 DSA 或 RSA 密鑰認證。它同樣使你的系統(tǒng)暴露于伯克利服務攻擊，但公共密鑰認證使危險性被最大限度地降低了。如果你讓該選項取值“ yes”（這也是隱含值），你就有必要為主機設置更為嚴格的登錄要求。再說一句，如果你希望保持系統(tǒng)的安全，關閉任何類型的 rhosts 認證。 PubKeyAuthentication 可以使用任意多種類型的認證，或正如所見，也可以單獨使用一種類型的認證。比如說你就可以僅允許公共密鑰認證工作。這和 sshd1的RSAAuthentication 選項一致。它并不需要 rhosts 或口令來協(xié)助認證。隱含值為“ yes”，你最好將選項保持在該狀態(tài)。 3．服務器選項 河北司法警官職業(yè)學院 11 這些選項用來定義安全 shell 守護的功能，包括 TCP 轉寄，對特殊地址與端口的偵聽，發(fā)送存活信息及服務器密鑰的設置等。 Ciphers 可以指定準備用來加密的算法。目前系統(tǒng)支持的算法有 DES， 3DES， Blowfish, Twofish, IDEA 和 Arcfour。不可以為該選項指定其他的值： any,anystd 和 anycipher,在你調試和測試時，將選項置為 none。 Sshd1Path 如果你準備與 SSH1兼容，就需要指定 SSH1路徑，尤其是當你將 sshd1安裝在一個非公共目錄下時。 ForwardAgent 這個選項確定你是否能將安全 shell 認證代理（ sshagent2）轉寄到遠程主機上。你既可以打開又可以關閉這個選項。 KeepAlive 安全 shell 守護能通過設置來決定是否發(fā)生存活（ Keepalive）信息。存活信息 能讓遠程的服務器知道連接是否已經中斷，并在確定連接中斷的情況下殺掉活動進程。這和 sshd1的配置文件中選項一致。當然，如果程序只是暫時地掛起，它會發(fā)出如下的令人沮喪的信息： Connection down： disconnecting 這當然是令人厭煩的信息。但如果你不發(fā)送存活信息，會留下一些能夠消耗掉資源的幽靈一般的程序。如果你要關閉存活信息發(fā)送選項，必須同時修改服務器端與客戶端的配置文件。 使用方法： KeepAlive Yes ListenAddress 如果你正在運行一個多地址主機，可以指定你希望服 務器偵聽的地址。這和 sshd1配置文件中的選項一致。如果你沒有多個主 IP 接口的話，隱含值是你的主IP接口。 使用方法： ListenAddress Port 可以通過該選項指定一個安全 shell 守護偵聽的端口，隱含值為 22。但在端口22已經被使用的情況下你可能會指定一個其他的端口。這和 sshd1的配置選項一致，與 p選項也一樣。 使用方法： 河北司法警官職業(yè)學院 12 Port 21 StrictModes 可以使服務器在建立登錄連接之前檢查用戶主目錄的文件模式和屬主。這與 sshd1所擁有的選項一致，這是一個很好的 選項，因為用戶可能會意外地將目錄與文件的選項置為可寫。如果的確是這樣，一定要將它們改正過來。隱含設置為“ yes”。 使用方法： StrictModes yes ForwardX11 這個選項確定是否允許 X 轉寄通過安全 shell 守護。這和 sshd1的X11Forwarding 選項一致。與其它的 TCP 傳輸一樣，這個選項在用戶指定轉寄時會被覆蓋掉。這取決于你是否允許 X 傳輸通過。然而，如果你打算讓 X 傳輸能傳送到遠端，最好讓它們轉寄到安全 shell。隱含設置為“ yes”。 使用方法： ForwardX11 yes ： 這些選項定義安全 shell 守護密鑰文件的存放位置。這包括密鑰文件，進程標識文件等。 AuthorizationFile 這 個 選 項 指 定 用 戶 授 權 文 件 的 名 字 。 隱 含 值 為~/.ssh2/authorization,它提供了一個安全 shell 服務器識別用戶的私有密鑰列表。 使用方法： HostKey $ HOME/.ssh2/ssh2_identity HostKeyFile 這個選項指定用來做私有主機密鑰的文件，與 sshd1的 Host Key 選項一致。如果你不是以超級用戶的身份運行安全 shell守護，你必須使用這個文件。正常情況下，除了對超級用戶主機密鑰文件是不可讀的。隱含值為 /etc/ssh2/hostkey。如果你使用了一個替代文件，一定要將其屬性設為 400，這與 h選項一樣。 使用方法： Hostkey /usr/local/etc/ssh2_host_key PublicHostKeyFile 與 HostKeyFile 選項類似，該選項指定用來做公有主機密鑰。 河北司法警官職業(yè)學院 13 使用方法： HostKey /usr/local/etc/ RandomSeedFile 該選 項用來定義產生服務器密鑰的隨機生成文件。它和 sshd1配置選項 RandomSeed 一致。隱含的文件位置為： /etc/ssh2/random_seed. 使用方法： RandomSeed /usr/local/etc/ssh2_random_seed 這個選項定義經過安全 shell 登錄到遠程帳號時，影響帳號環(huán)境變量的那些設置。絕大部分設置發(fā)生于登錄時使用的 .profile 或 .cshrc 之類的設置。但你也可以在安全 shell守護配置文件中設置它們并使其發(fā)生作用。 LoginGraceTime 該選項設置安全 shell 守護中的“警報”機制，與 sshd1的配置選項效果相同。它給安全客戶規(guī)定一個特定的時間，每經過該單位時間，安全客戶將與服務器認證一次。隱含時間為 600秒。如果安全客戶不進行認證，服務進程將斷開與 socket 的連接。可以將這個選項設為零，這將意味著對認證時間沒有限制。如果你將安全 shell 置于調試模式，該選項將被自動地置為零，可以發(fā)現，它的效果與 g選項類似。 使用方法： LoginGraceTime 660 PrintMotd 該選項決定用戶帳號是否打印出存放于 /etc/id 中的系統(tǒng)每日信息。這與 sshd1中的同名選項類似，僅應用于以交互方式登錄時（不是以 scp 與 ssh 后隨命令的方式）。選項的隱含值為“ yes”。它可以在用戶的環(huán)境初始化文件中設置。 使用方法： PrintMotd no 6．登錄選項 這些選項能夠影響被送往日志文件的信息。既可以增加這些登錄信息，但這會損害用戶的隱私權，當然你也可以關閉它們，其結果是僅有極少的錯誤信息會被記錄。 Quiet Mode 該選項設置啞模式，這意味著將不會有任何信息被送往系統(tǒng)日志文件。它與 sshd1的同名選項類似。通常情況下被發(fā)送的 內容是：連接起始標志，用戶的認證和河北司法警官職業(yè)學院 14 連接終止標志。除非你的日志文件總是很快就被填滿，否則最好不要打開這個選項。定期審查登錄的蹤跡是一個好習慣，這樣可以查看是否有人非法進入到你的系統(tǒng)。該選項與“ q”選項類似，隱含值為“ no”。 使用方法： QuietMode no Verbose Mode 在該模式下， sshd2將會打印出第 2層的調試信息。記住在打開該模式的情況下 sshd2守護程序將不會復制產生子進程。該選項與“ v”選項類似。 使用方法： VerboseMode no 盡管體現了安全 shell 2的一些新 的特征，安全文件傳輸服務器并沒有被很好地用文檔加以說明。安全文件傳輸服務器由安全 shell 2守護來運行，后者偵聽端口 22。從某種意義上說，它的工作機理和 scp 非常相像。它使用非安全應用程序（ rcp 或 ftp）的代碼，連接也通過端口 22被轉寄。因為更像一個客戶程序。而非服務器程序，安全 FTP 將會在“安全 shell 2客戶 — ssh2, scp2和 sftp2”中加以描述。 . 客戶程序 的使用和配置 . 安 全 shell 客戶程序的 使用 安全 shell 客戶程序， ssh2和 scp2在命令選項上說明不同的語法規(guī)則。 ssh2客戶程序具有更多的選項，這是因為具有比單純拷貝文件更多的功能。并由于 scp2使用 ssh2作為運輸工具， ssh2客戶程序也需要為 scp 提供一些功能。 為了所有這些意圖和目標， ssh2具有很簡單的語法： $ ssh2 [選項 ]主機名 [命令 ] 注意：不必鍵入 ssh2或 scp2來運行任何一個安全 shell2客戶程序。在安裝了 ssh2應用程序之后， ssh 和 scp 的符號連接會分別連接到 ssh2和 scp2。如果安裝有 ssh1和 ssh2客戶程序。你將需要運行 ssh1和 scp1來運行 ssh1客戶程序。 ssh2的命令行選項比 ssh1命令行選項更豐富。你將發(fā)現 ssh2有一些更多可供使用的功能，這包括允許認證代理，不允許壓縮，設置調試等級和允許 X轉寄。 注意： ssh2不存在 k Kerberos 標簽和 y 遠程端選項。 河北司法警官職業(yè)學院 15 a 該選項讓你能夠關閉對認證代理的轉寄。這一點和 ssh1客戶相同。它阻止了加載到內存中的口令（ passphrase）被用于安全 Shell 客戶的發(fā)行。如果需要，你可以在每個主機的配置文件里指定該功能而不是在全局定義這種功能。 +a 該選項允許認證代理進行轉寄，這是缺省選項。 c cipher 這和在 ssh 中定義的選項相同，這是因為它被直接傳送給 ssh。這也和scp1使用的選項相同。你可以選擇你想要的對稱鑰匙密碼來加密網絡傳輸。這不影響使用DSA 或 RSA 公共密鑰的認證。所選擇的密碼有 IDEA， DES， 3DES， Blowfish 和 Twofish。你也可以選擇“ none”，但該選擇關閉加密從而使安全 Shell 客戶變得不安全。該“ none”選項可以只用來調試和測試所要的目標，而不在實際中使用。最好的選擇是使用 3DES， IDEA或 Blowfish。 Blowfish 和 Twofish 是 ssh2支持的最快的算法 。為了獲得最高的安全性，使用 IDEA。如果 IDEA 不同時被兩臺安全 shell 服務器支持，則使用 3DES。 +C 壓縮通過安全 shell 客戶發(fā)送的所有數據，這包括輸入、輸出、錯誤信息和轉寄的數據。這和 ssh 的 c 選項相同。不要把它們混淆。這使用 gzip 算法，并且壓縮級別可以通過配置文件的 CompressionLevel 選項定義。這種壓縮對速度慢的網絡很有效，例如modem，但在速度已經很快的網絡上幫助不大。使用配置文件也可以允許為基于單個主機配置該選項。 C 該選項關閉壓縮。請注意這和 ssh1的選項作用 是相反的。這也是 ssh2的缺省選項。 d debug_level 這打印出所要的第幾級的調試信息。數字越大，所得到的信息越多。該數字從 0到 99。記住 v選項打印出第三級的調試信息。 e escape_character 這定義轉義字符。缺符為“ n”。但可以設置為任何字符成控制字符。這也和 ssh 的選項相同。 你也可以定義為“ none”，這使用會話透明，但你可能想在連接懸掛起來時讓它作為缺省值。為了能使用轉義字符。鍵入轉義字符，隨后鍵入字點號，這就終止連接。如果你鍵入轉義字符，隨后鍵入 control+z，則把連接暫時掛起。 f 把 ssh 連接發(fā)送到后臺。這和 ssh1的選項相同。在認證完成并且 TCP/IP 轉寄建立之后發(fā)生。在遠程主機上啟動 X 程序是不簡單的。用戶被提示輸入口令（假設認證代理沒有運行），接著連接被發(fā)送到后臺。 F configuration_file 該選項指定使用哪個用戶配置文件。缺省的配置文件為~/.ssh2/ssh2_config。然而，你可以擁有自己的缺省配置文件和其它的配置文件。首先讀入可選的文件，然后再加入缺省文件選項。 河北司法警官職業(yè)學院 16 h 打印幫助命令摘要，然后退出。這不運行 ssh2客戶 程序。 i identity_file 該選項定義 DSA 私人密鑰，或認證所要讀取的身份文件，這和 ssh2里的相同選項功能相似。缺省文件為 $HOME/.ssh2/id_dsa1024_a?？梢詾椴煌鳈C定義多個文件。如果你的確定義了不同文件，可能想為每臺主機分別命名這些文件（例如，,）。 l login_name 該選項指定你在遠程主機上登錄的用戶名。這個選項和 ssh1的相同。缺省的用戶名和本地主機的用戶名相同，也可以在 配置文件中按每臺主機定義。這是很有用的選項，因為今天有些人通過不同的帳號使用著不同主機。 L port:host:hostport 該選項把指定 port 上的任意到本地主機的連接轉寄到遠程主機的 hos