openssh网络安全分析

SSH协议出现之前，在网络设备管理上广泛应用的一种方式是Telnet。Telnet协议的优势在于通过它可以远程地登录到网络设备上，对网络设备进行配置，为网络管理员异地管理网络设备提供了极大的方便。但是，Telnet协议存在三个致命的弱点：

A、明文传输：数据传输采用明文方式，传输的数据没有任何机密性可言。

B、认证机制脆弱。用户的认证信息在网络上以明文方式传输，很容易被窃听； Telnet 只支持传统的密码认证方式，很容易被攻击。

C、“伪服务器欺骗”：客户端无法真正识别服务器的身份，攻击者很容易进行“伪服务器欺骗”。SSH协议正是为了克服Telnet协议存在的问题而诞生的。

D、数据传输过程被篡改，无法保证传输过程数据完整性

ssh如果解决上述几个安全问题？我们一个个来分析

通过 在 通信双方建立“加密通道”，保证传输的数据不被窃听。并且需要有合适的手段保证通信双方秘钥的安全

所谓加密通道，是指发送方在发送数据前，使用加密密钥对数据进行加密，然后将

数据发送给对方；接收方接收到数据后，利用解密密钥从密文中获取明文。

加解密算法分为两类：  对称密钥算法：数据加密和解密时使用相同的密钥和相同的算法。  非对称密钥算法：数据加密和解密时使用不同的密钥，一个是公开的公钥，

一个是由用户秘密保存的私钥。

由于非对称密钥算法比较耗时，一般多用于数字签名以及身份认证。SSH加密通道

上的数据加解密使用对称密钥算法，目前主要支持的算法有DES、3DES、AES

等，这些算法都可以有效地防止交互数据被窃听，而且由于采用了初始化向量保

护，可以防止类似于密码流复用等密码分析工具的攻击。

对称密钥算法要求解密密钥和加密密钥完全一致，才能顺利从密文中解密得到明

文。因此，要建立加密通道，必须先在通信双方部署一致的加解密密钥。部署加解

密密钥的方式有多种：手工配置和第三方机构分配等。手工配置的方式扩展性差，

只适合一些小型的本地网络；使用第三方机构分配密钥的方式，需要额外的第三方

服务器，而且密钥在网络中传输容易被窃听。

SSH协议使用一种安全的方式在通信双方部署密钥：密钥交换算法。利用密钥交换

算法可以在通信双方动态地产生密钥，这个密钥只能被通信的双方获得，任何第三

者都无法窃听，这就在源头上保证了加解密使用密钥的安全性，很好地解决了密钥

分发问题。

支持的数据加密算法有：

3des-cbc

aes128-cbc

aes192-cbc

aes256-cbc

aes128-ctr

aes192-ctr

aes256-ctr

aes128-gcm@opensshcom

aes256-gcm@opensshcom

chacha20-poly1305@opensshcom

默认使用的算法：

chacha20-poly1305@opensshcom,

aes128-ctr,aes192-ctr,aes256-ctr,

aes128-gcm@opensshcom,aes256-gcm@opensshcom

可以通过关键字 “ Ciphers”指定使用的算法，多个算法间，需要使用逗号相隔

有三种方式指定算法

方式一：Ciphers 关键字后接算法名称，比如：Ciphers aes256-ctr，aes192-ctr表示只使用

aes256-ctr，aes192-ctr两种算法

方式二：Ciphers 关键字后接算法名称，并且算法名称前带上“+”，表示在默认算法基础上，新增“+”后的算法

方式三：Ciphers 关键字后接算法名称，并且算法名称前带上“-”，表示在默认算法基础上，裁剪“-”后的算法

支持的密钥交换算法有：

curve25519-sha256

curve25519-sha256@libsshorg

diffie-hellman-group1-sha1

diffie-hellman-group14-sha1

diffie-hellman-group-exchange-sha1

diffie-hellman-group-exchange-sha256

ecdh-sha2-nistp256

ecdh-sha2-nistp384

ecdh-sha2-nistp521

默认使用的密钥交换算法有：

curve25519-sha256,curve25519-sha256@libsshorg,

ecdh-sha2-nistp256,ecdh-sha2-nistp384,ecdh-sha2-nistp521,

diffie-hellman-group-exchange-sha256,

diffie-hellman-group14-sha1

可以通过关键字 “

KexAlgorithms ”指定使用的算法，多个算法间，需要使用 逗号相隔

有三种方式指定算法

方式一：KexAlgorithms关键字后接算法名称，比如：KexAlgorithms

diffie-hellman-group-exchange-sha256，diffie-hellman-group14-sha1

表示只使用diffie-hellman-group-exchange-sha256，diffie-hellman-group14-sha1

两种算法

方式二：KexAlgorithms关键字后接算法名称，并且算法名称前带上“+”，表示在默认算法基础上，新增“+”后的算法

方式三：KexAlgorithms关键字后接算法名称，并且算法名称前带上“-”，表示在默认算法基础上，裁剪“-”后的算法

传统的方式，采用的是密码认证模式：用户在ssh客户端输入账号、密码，openssh完成对登录用户进行密码认证。用户的身份信息等关键数据都保存在认证服务器上

由于密码认证方式的认证强度较弱，SSH协议引入了公钥认证方式。目前，openssh

可以利用RSA和DSA两种非对称密钥算法实现公钥认证。

公钥认证的过程分为两个部分：：

(1)  公钥验证：客户端首先将自己本地密钥对的公钥部分，按照字符串格式发送

到服务器。服务器使用本地保存的客户端公钥，与报文中携带的客户端公钥

进行比较，验证客户端持有公钥的正确性。

(2)  数字签名验证：如果公钥验证成功，客户端继续使用自己本地密钥对的私钥

部分，对特定报文进行摘要运算，将所得的结果（即数字签名）发送给服务

器，向服务器证明自己的身份；服务器使用预先配置的该用户的公钥，对客

户端发送过来的数字签名进行验证。

公钥验证和数字签名验证中任何一个验证失败，都会导致本次公钥认证失败。

AuthenticationMethods

PubkeyAuthentication：是否使用公钥认证，默认为yes

UsePAM:该关键字只有在移植版中支持，PAM为“可插拔认证模块”，用于

PubkeyAcceptedKeyTypes：公钥认证算法

ecdsa-sha2-nistp256-cert-v01@opensshcom, ecdsa-sha2-nistp384-cert-v01@opensshcom, ecdsa-sha2-nistp521-cert-v01@opensshcom, ssh-ed25519-cert-v01@opensshcom, ssh-rsa-cert-v01@opensshcom, ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521, ssh-ed25519,ssh-rsa
公钥认证配置方法：

1 首先，在客户端生成一个对钥：

# ssh-keygen -t rsa

Generating public/private rsa key pair

Enter file in which to save the key (/root/ssh/id_rsa):

Enter passphrase (empty for no passphrase):

Enter same passphrase again:

Your identification has been saved in /root/ssh/id_rsa

Your public key has been saved in /root/ssh/id_rsapub

The key fingerprint is:

fa:49:6c:0a:90:0e:0f:57:2e:21:79:f6:65:7f:8d:42

这里我们用的是rsa算法,我们也可以使用dsa算法：

ssh-keygen -t dsa

从上面可以看到，提示输入私钥的保护密码，我们也可以不选，直接ENTER就行了！

现在密钥已经生成：

id_rsa(私钥) id_rsapub(公钥)

如果是dsa算法生成的话：

id_dsa id_dsapub

2 我们将公钥传到服务器的ssh目录下

scp id_rsapub user@hostname:/home/user/ssh/authorized_keys

3 将/etc/ssh/sshd_config

中的rsa认证功能打开(去掉注释)

RSAAuthentication yes

PubkeyAuthentication yes

AuthorizedKeysFile ssh/authorized_keys

然后重新启动sshd就行了

如果是dsa算法的话同理

疑问：公钥认证，是否使用了PAM？还是openssh自己搞的？

可插拔认证模块的介绍：

>

一、网站日志分析：

主机管理台—文件管理—网站日志下载—可下载最近一天的网站日志文件—登录FTP服务器—下载网站日志文件—查看搜索引擎蜘蛛爬取网站记录(搜索蜘蛛名字)

作用：查看蜘蛛是否有来爬取网站(爬取了但是没收录—提高网站内容原创性;没有爬行记录—检查robots文件;提高网站更新频率;提交网站连接/提交sitemap)

二、网站代码优化

1、使用精简的代码结构(DIV+CSS)

DIV+CSS将网站内容和样式分开管理。

使用外部调用来控制网页样式可以精简网站代码。

2、利用搜索引擎不识别的代码屏蔽特殊内容；

Iframe:

Iframe标记调用展示其他页面内容;iframe标记调用的内容搜索引擎不识别!

Html文件命名不可使用中文。

不展示：路径下没有文件、路径书写错误。

target="_blank" 新页面打开链接。

Iframe标记在网站中的实际应用-屏蔽网站广告，减少权重的输出。

js:JavaScript

JavaScript—网页的脚本语言，实现网页的动态效果。

Js输出的内容搜索引擎不识别。

3、使用权重标记优化关键词。

H标记

H1:一个页面只能出现一次h1标记;

关键词

h1中间写关键词，一个网站整站H1标签对应唯一的关键词；

三、网站内容优化：

1、伪原创的内容来源：

行业门户/论坛(需要深度伪原创);

自己原创内容(内容利用率高);

纸质书籍(版权问题;效率较低)

robots禁止抓取的网站;

1标题伪原创

目的：使标题在互联网上没有重复(标题越短越容易重复)

方法：数字替换、同义词替换、颠倒顺序。

发布之前搜索确定文章标题是否有重复。

2正文伪原创

首段文字自己创造(首段文字必须出现关键词);

文章末段文字出现关键词;

文章主题内容可整合多篇文章内容。

首先127001（都背下来了……）是本地机的地址，不是网络地址因此不能联网。断开连接后就取消了服务器，也就是说host的服务器在退出时一起取消了。——————以上为伪联机，也就是系统创建了服务器但网络上别人加不进来————————真正的互联网联机是要开tr server的，同时一般创造ip局域网的软件是hamachi。开完tr server并输入一系列指令之后，就需要自己加入自己的服务器了。（不要点创建）这个时候服务器是否关闭取决于tr server是否开启。存档关服指令：exit

你好，解决办法：
1、登录服务器
使用一台可以远程连接的机器或者直接到机房登录服务器。
2、打开远程桌面会话主机配置
3、选择连接设置，连接名：RDP-Tcp，双击或者右键属性。
4、查看RDP-Tcp属性，“常规”选项卡中，下方证书点击“选择”。
5、确认证书，点击“单击此处查看证书属性”。
可能不需要下一步，直接点击“确定”就可以了，这里我没有测试的机会了。
6、安装证书
安装完毕就可以了。
从解决方法看，应该就是服务器的验证证书出现问题了，重新选择一个有效的就可以了。服务器托管的好处：A可见性，最大的优势就是可见性，用户购买服务器是看得着摸得着的，这，一向对于虚拟化的东西有不信任敢。B独享性。购买服务器后，用户可以为自己的业务实现独享，独享的优势有很多。用户可以根据自己的需求去设定，去管理。C安全和稳定性。购买服务器用户可以根据需求进行设定，这样无疑就增添了服务器的安全和稳定性，对于网站来说，安全性和稳定性是非常重要的。二：托管服务器的弱点之处：A价格贵。对于个人用户或一些小型企业用户来说，购买自己的服务器并不划算，需要的成本费用较高，而且租用机房也需要费用，所以对于对服务器要求不高的用户来说，购买服务器并不划算。B部署麻烦。同样，自己购买服务器就需要用户自己来搭建Web服务器的架构，对于个人用户和小型企业用户来说，缺少专业的知识，让他们很难搭建适合的服务，同时对安全性和稳定性也会产生影响。C以上就是用户自己购买服务器的一些优缺点，当然这些优缺点也是面向大多数用户的基本情况来说的，对于不同的用户，有可能并不是缺点。下面我们来看一下租用服务器的优缺点。　（一）：租用服务器的优势：A价格便宜，可以选择配置购买。对于个人用户和一些中小企业用户来说，他们的网站访问量很小，并不需要购买自己的服务器来满足需求，可能只需要一台服务器的一点点空间就能满足要求，通过购买服务器空间的方式为用户节省了很多费用。B部署简单，方便。购买自己的服务器，则需要自己部署 *** 作系统和软件等程序，而租用服务器，服务提供商能够给用户提供最适合的系统，还可帮忙配置环境，省去了前期的大量部署。C即买即用。用户租用服务器空间，可以根据需求进行购买，当没有需求的时候可以选择不购买，而不会产生任何硬件垃圾，用户能够实现即买即用。（二）租用机房的服务器同样也有其不足：对服务器配置不了解。租用服务器的用户可能对服务器的配置并不了解，对服务器的品牌，型号，以及性能方面有所怀疑。服务器租用能节约成本，能很方便的快速使用服务器的。壹基比拥有国内顶尖实力，接受定制服务器配置、服务器防御技术指点。最专业24小时售后技术团队仅供参考

---