h是安全的shell程序
【认证原理】
有2种认证方式
（一）
基于账号和口令的验证方式
基于账号和口令的验证方式
（二）
基于公钥和私钥的验证方式
基于公钥和私钥的验证方式
ssh的登录过程分为5个阶段
1、版本号协商阶段
2、密钥和算法协商阶段
2、密钥和算法协商阶段
3、认证阶段
4、会话请求阶段
5、会话交互阶段
4、会话请求阶段
5、会话交互阶段
《1》版本号协商阶段
服务端打开端口22，等待客户连接。
客户端向服务端发起TCP连接，连接建立后，服务端向客户端发送第一个报文，包括版本标志字符串，格式为“协议版本号 次协议版本号软件版本号”。
客户端收到报文后，解析协议版本号，如果服务端的协议版本号比自己的低，且客户端能支持服务端的低版本，就使用服务端的协议号，否则使用自己的协议版本号。
客户端回复服务端一个报文，包含了客户端决定使用的协议版本号。
服务端比较客户端发过来的版本号，决定是否能同客户端交互。
如果协商成功，就进入密钥和算法协商阶段。否则服务端断开TCP连接。
服务端打开端口22，等待客户连接。
客户端向服务端发起TCP连接，连接建立后，服务端向客户端发送第一个报文，包括版本标志字符串，格式为“协议版本号 次协议版本号软件版本号”。
客户端收到报文后，解析协议版本号，如果服务端的协议版本号比自己的低，且客户端能支持服务端的低版本，就使用服务端的协议号，否则使用自己的协议版本号。
客户端回复服务端一个报文，包含了客户端决定使用的协议版本号。
服务端比较客户端发过来的版本号，决定是否能同客户端交互。
如果协商成功，就进入密钥和算法协商阶段。否则服务端断开TCP连接。
《2》密钥和算法协商阶段
服务端和客户端分别发送算法协商报文给对方，报文中包含自己支持的公钥算法列表、加密算法列表、消息验证码算法列表、压缩算法列表等。
服务端和客户端根据对方和自己支持的算法得出最终使用的算法。
服务端和客户端利用DH交换算法、主机密钥对等参数，生成会话密钥和会话ID。
服务端和客户端根据对方和自己支持的算法得出最终使用的算法。
服务端和客户端利用DH交换算法、主机密钥对等参数，生成会话密钥和会话ID。
c公 客户端公钥
c密 客户端密钥
s公 服务端公钥
s密 服务端密钥
c密 客户端密钥
s公 服务端公钥
s密 服务端密钥
在版本号协商阶段完成后：
服务端将 s公 发送给客户端。
服务端生成会话ID ，设为 id ，发送给客户端。
客户端生成会话密钥，设为 key ，并计算 res = id 异或 key。
客户端将 res 用 s公 进行加密，将结果发送给服务端。
服务端用 s密 进行解密，得到 res。
服务端将 s公 发送给客户端。
服务端生成会话ID ，设为 id ，发送给客户端。
客户端生成会话密钥，设为 key ，并计算 res = id 异或 key。
客户端将 res 用 s公 进行加密，将结果发送给服务端。
服务端用 s密 进行解密，得到 res。
服务器计算 res 异或 id，得到 key。
至此服务端和客户端都知道了会话密钥和会话ID，以后的数据传输都使用会话密钥进行加密和解密。
至此服务端和客户端都知道了会话密钥和会话ID，以后的数据传输都使用会话密钥进行加密和解密。
《3》认证阶段
基于账号和口令的验证方式：
客户端使用密钥和算法协商阶段生成的会话密钥加密账号、认证方法、口令，将结果发送给服务器。
服务端使用获得的会话密钥解密报文，得到账号和口令。
服务端对这个账号和口令进行判断，如果失败，向客户端发送认证失败报文，其中包含了可以再次认证的方法列表。
客户端从认证方法列表中选择一种方法进行再次认证。
这个过程反复进行，直到认证成功或者认证次数达到上限，服务端关闭本次TCP连接。
基于公钥和私钥的验证方式：
使用ssh-keygen程序生成公钥 id_dsa.pub 和私钥 id_dsa，一般是在客户端上生成，然后把 id_dsa.pub 通过某种方式发送给服务端。
服务端放在将要远程登录过来的那个账号的目录的.ssh目录下面。
客户端使用密钥和算法协商阶段生成的会话密钥加密账号、认证方法、id_dsa.pub，将结果发送给服务端。
服务端使用会话密钥解密报文，得到账号、id_dsa.pub。
服务端在这个账号的目录的.ssh目录下对应的公钥，如果没有到，发送失败消息给客户端，如果到，比较客户发送过来的这个公钥和到的公钥，如果内容相同，服务端生成一个随机的字符串，简称“质询”，然后使用到的公钥加密这个质询，然后使用会话密钥再次加密。
服务端把这个双重加密的数据发送给客户端。
客户端使用会话密钥解密报文，然后使用id_dsa再次解密数据，得到质询。
客户端使用会话密钥加密质询，发送给服务端。
服务端使用会话密钥解密报文，得到质询，判断是不是自己生成的那个质询，如果不相同，发送失败消息给客户端，如果相同，认证通过。
服务端放在将要远程登录过来的那个账号的目录的.ssh目录下面。
客户端使用密钥和算法协商阶段生成的会话密钥加密账号、认证方法、id_dsa.pub，将结果发送给服务端。
服务端使用会话密钥解密报文，得到账号、id_dsa.pub。
服务端在这个账号的目录的.ssh目录下对应的公钥，如果没有到，发送失败消息给客户端，如果到，比较客户发送过来的这个公钥和到的公钥，如果内容相同，服务端生成一个随机的字符串，简称“质询”，然后使用到的公钥加密这个质询，然后使用会话密钥再次加密。
服务端把这个双重加密的数据发送给客户端。
客户端使用会话密钥解密报文，然后使用id_dsa再次解密数据，得到质询。
客户端使用会话密钥加密质询，发送给服务端。
服务端使用会话密钥解密报文，得到质询，判断是不是自己生成的那个质询，如果不相同，发送失败消息给客户端，如果相同，认证通过。
【编译步骤】
openssh是一个开源的SSH程序，包括服务端和客户端
下载地址:www.openssh/
openssh依赖openssl
下载地址：/
下载地址：/
首先编译、安装openssl
tar -zxvf openssl-1.0.
mkdir /usr/local/openssl-1.0.0d
cd openssl-1.0.0d
./configure --prefix=/usr/local/openssl-1.0.0d
make
make install
mkdir /usr/local/openssl-1.0.0d
cd openssl-1.0.0d
./configure --prefix=/usr/local/openssl-1.0.0d
make
make install
然后编译、安装openssh
tar -zxvf openssh-2.1.
mkdir /usr/local/openssh-2.1.1p4
./configure --prefix=/usr/local/openssh-2.1.1p4 --with-ssl-dir=/usr/local/openssl-1.0.0d --with-ldflags=-lcrypt
make的时候会报错：
“sshconnect1.c MD5_CTX 类型没有定义，MD5Init MD5Update MD5Final 不到定义”
这个时候需要下载md5.h md5.c 源文件，要求源代码中有上面的MD5_CTX类型的定义和上面3个函数的实现，然后放在 sshconnect1.c相同目录下
修改sshconnect1.c ，增加 #include "md5.h"，修改Makefile
在 SSHOBJS= ssh.o sshconnect.o sshconnect1.o 这行后面增加 md5.o
makeshell程序的编写流程
make install
mkdir /usr/local/openssh-2.1.1p4
./configure --prefix=/usr/local/openssh-2.1.1p4 --with-ssl-dir=/usr/local/openssl-1.0.0d --with-ldflags=-lcrypt
make的时候会报错：
“sshconnect1.c MD5_CTX 类型没有定义，MD5Init MD5Update MD5Final 不到定义”
这个时候需要下载md5.h md5.c 源文件，要求源代码中有上面的MD5_CTX类型的定义和上面3个函数的实现，然后放在 sshconnect1.c相同目录下
修改sshconnect1.c ，增加 #include "md5.h"，修改Makefile
在 SSHOBJS= ssh.o sshconnect.o sshconnect1.o 这行后面增加 md5.o
makeshell程序的编写流程
make install
最后，在/usr/local/openssh-2.1.1p4目录下就是生成的可执行文件
bin/ etc/ man/ sbin/
bin/ etc/ man/ sbin/
服务端是 sshd，客户端是 ssh ，密钥生成程序是 ssh-keygen
【使用方法】
基于账号和口令的验证方式：
sshd服务端开启后，执行客户端 ./ssh 账号@服务端IP地址
会提示输入密码，直接输入就可以登录成功
sshd服务端开启后，执行客户端 ./ssh 账号@服务端IP地址
会提示输入密码，直接输入就可以登录成功
基于公钥和私钥的验证方式：
《RSA SSH1》
使用ssh-keygen生成RSA密钥对， 命令行为 ./ssh-keygen
然后会在本账号的目录下创建 .ssh 目录，然后生成 identity 和 identity.pub，将identity.pub放到服务端的将要登录的那个账号的 .ssh目录下，如果没有.ssh目录，手动创建它，再创建一个名称为authorized_keys文件，将identity.pub的内容追加到 authorized_keys文件后面。
cat >> authorized_keys < identity.pub
使用ssh-keygen生成RSA密钥对， 命令行为 ./ssh-keygen
然后会在本账号的目录下创建 .ssh 目录，然后生成 identity 和 identity.pub，将identity.pub放到服务端的将要登录的那个账号的 .ssh目录下，如果没有.ssh目录，手动创建它，再创建一个名称为authorized_keys文件，将identity.pub的内容追加到 authorized_keys文件后面。
cat >> authorized_keys < identity.pub
实际上sshd程序是从authorized_keys文件中遍历所有的公钥，直到到一个匹配的公钥为止。
注意修改账号的目录的权限为 755，否则会导致客户端认证不成功。
客户端命令行为 ./ssh -i /root/.ssh/identity 账号@服务端IP地址
注意修改账号的目录的权限为 755，否则会导致客户端认证不成功。
客户端命令行为 ./ssh -i /root/.ssh/identity 账号@服务端IP地址
《DSA SSH2》
用法同RSA SSH1相同，不同之处在：
1、ssh-keygen 加上 -d 参数 生成 id_dsa 和 id_dsa.pub 密钥对
2、服务端在.ssh目录下创建一个authorized_keys2文件，将id_dsa.pub内容追加进去
3、客户端执行命令行为： ./ssh -2 -i /root/.ssh/id_dsa 账号@服务端IP地址
用法同RSA SSH1相同，不同之处在：
1、ssh-keygen 加上 -d 参数 生成 id_dsa 和 id_dsa.pub 密钥对
2、服务端在.ssh目录下创建一个authorized_keys2文件，将id_dsa.pub内容追加进去
3、客户端执行命令行为： ./ssh -2 -i /root/.ssh/id_dsa 账号@服务端IP地址
发表评论