服务器标配 SSH 协议，你了解多少？-低调大师

服务器标配 SSH 协议，你了解多少？

2020-12-16 424

年初，新冠肺炎疫情的出现，全国数千万名员工在家远程办公，使用个人设备通过家庭网络访问公司资料。因此，IT 安全团队面临了众多新挑战：如何实施更加安全的身份验证方案，以确保只有授权人员和设备才能访问公司敏感资产？

不少小伙伴想起了 SSH，其实大家对它都比较熟悉。大到虚拟机、服务器，小到手机、家电，Linux 设备普及越来越广，SSH 的运用也越来越广泛。不仅攻城狮、程序猿离不开它，普通用户也基本都在使用。SSH 可以说是各服务器的标配，有了 SSH，我们不必每次都要蹲到机房里连接服务器配置服务器，直接远程就可以操作，同样，有了 SSH，也能解决远程办公的一些安全性问题。

下面我们就来详细了解一下 SSH 的传奇故事。

什么是 SSH

SSH（Secure Shell）是一种加密的网络传输协议，它允许用户通过 Internet 控制和修改远程服务器。该协议的出现替代了未加密的登录协议（例如 telnet/rlogin）和不安全的文件传输方法（例如 FTP），并使用了加密技术来确保与远程服务器之间的所有通信都以加密的方式进行。它提供了一种机制，用于验证远程用户，将输入从客户端传输到服务器，以及将输出中继回客户端。

SSH 提供了强大的加密和完整性保护。在客户端和服务器之间建立连接后，SSH 将根据设置中协商的参数对传输的数据进行加密。在协商过程中，客户端和服务器根据使用的对称加密算法达成一致，并生成将要使用的加密密钥。通讯双方之间的通信受到行业标准的强加密算法（例如 AES（高级加密标准））的保护，并且 SSH 协议还包括一种机制，该机制通过使用标准哈希算法（例如 SHA）来确保传输数据的完整性。

SSH 除了提供强大的加密功能外，网络管理员还广泛使用 SSH 远程管理系统和应用程序，交付软件补丁或执行命令并移动文件。

SSH 协议如何工作

任何 Linux 或 macOS 用户都可以直接从终端窗口通过 SSH 进入其他远程服务器。而 Windows 用户可以利用 Xshell、Putty 之类的 SSH 客户端。进入之后就可以与直接操作远程计算机相同的方式执行 Shell 命令。

SSH 默认在 TCP 端口 22 上运行（可以根据需求修改）。服务器在 22 端口上监听传入的连接。如果验证成功，它将对客户端进行身份验证并打开正确的通道来进行安全连接。客户端必须通过与服务器启动 TCP 握手，确保安全的对称连接，验证服务器显示的身份是否与以前的记录（通常记录在 RSA 密钥存储文件中）匹配，并提供所需的用户凭据来开始 SSH 连接。

服务器（主机）身份验证

SSH 协议内置于 Unix 和 Linux 服务器中，以实现系统之间的安全连接。该连接由请求连接到 SSH 服务器的客户端建立。SSH 客户端启动连接建立过程，并使用公共密钥加密技术来验证 SSH 服务器的身份。在设置阶段之后，SSH 协议使用强大的对称加密和哈希算法来确保客户端和服务器之间交换数据的私密性和完整性。

下图是根据 NIST IR 7966 改编而成的，它简化了 SSH 连接的流程：

客户端启动与 SSH 服务器的连接
服务器将其公钥发送给客户端
服务器的公钥保存在客户端的已知主机文件中
客户端与服务器协商连接参数并建立连接

客户端（用户）身份验证

SSH 协议使用传统密码或公共密钥来启用客户端身份验证。但是，鉴于使用密码的风险和效率低下，公钥身份验证被更广泛地使用。SSH 密钥不仅比密码更强大，而且系统管理员还可以绕过基于密码的手动登录。

用户如何使用 SSH 密钥进行身份验证呢？它们可以使用 ssh-keygen 命令与 SSH 客户端（例如 OpenSSH）生成一个公私钥对。创建后，用户将其授权密钥（公共密钥）放入需要连接的服务器上的 authorized_keys 文件中。

当用户使用基于密钥的身份验证远程登录时，OpenSSH 服务器将查找授权密钥，然后用户使用其对应的私钥向服务器进行身份验证。由于不需要手动身份验证，因此通常使用基于密钥的身份验证用于 IT 流程的自动化，例如安全的文件传输，备份和复制流程或配置管理工具（例如 Ansible，Terraform，Chef 或 Puppet）。

SSH 协议的常见用例

SSH 连接主要用于保护本地计算机和远程主机之间不同类型的通信，包括：

安全远程访问资源
远程执行命令
交付软件补丁和更新
交互式和自动文件传输

除了在本地计算机和远程计算机之间创建安全通道外，SSH 协议还用于管理重要的公司基础结构，例如路由器，服务器硬件，虚拟化平台和操作系统等。

SSH 密钥用于自动访问服务器，通常用于脚本，备份系统和配置管理工具中。由于其设计允许跨组织边界的连接，并且 SSH 密钥提供了单点登录（SSO）功能，使用户无需每次输入密码即可在各个帐户之间移动。

最后，插播段小广告：又拍云的“一键登录”功能，和 SSH 密钥登录类似，用户仅需要允许服务商应用获取本机手机号码，并通过运营商网络上传，即可完成用户身份校验。不需要频繁的输入密码和手机验证码，很大程度上降低了注册、登录环节的用户流失。

深入详解 Jetpack Compose | 优化 UI 构建

人们对于 UI 开发的预期已经不同往昔。现如今，为了满足用户的需求，我们构建的应用必须包含完善的用户界面，其中必然包括动画 (animation) 和动效 (motion)，这些诉求在 UI 工具包创建之初时并不存在。为了解决如何快速而高效地创建完善的 UI 这一技术难题，我们引入了 Jetpack Compose —— 这是一个现代的 UI 工具包，能够帮助开发者们在新的趋势下取得成功。在本系列的两篇文章中，我们将阐述 Compose 的优势，并探讨它背后的工作原理。作为开篇，在本文中，我会分享 Compose 所解决的问题、一些设计决策背后的原因，以及这些决策如何帮助开发者。此外，我还会分享 Compose 的思维模型，您应如何考虑在 Compose 中编写代码，以及如何创建您自己的 API。 Compose 所解决的问题关注点分离 (Separation of concerns, SOC) 是一个众所周知的软件设计原则，这是我们作为开发者所要学习的基础知识之一。然而，尽管其广为人知，但在实践中却常常难以把握是否应当遵循该原则。面对这样的问题，从 "耦合"和 "内聚"的角度去考...

2020-12-16

554

点击播放，看文效果更佳！前言《三国杀》是一款热门的卡牌游戏，结合中国三国时期背景，以身份为线索，以卡牌为形式，益智休闲，老少皆宜。东汉末年，袁绍作为盟主，汇合了十八路诸侯一起攻打董卓。在讲解之前，我们先聊下分布式协议和算法整体脉络。现在很多开发同学对分布式的组件怎么使用都有一定经验，也知道 CAP 理论和 BASE 理论的大致含义。但认真去看分布式算法的真的很少，原因有三：担心算法过于复杂，所以花的时间很少。网上的资料能用大白话将分布式算法讲清楚的比较少。学习分布式算法没有一条清晰的路线。我会在后续的文章中用故事、大白话的方式来讲解分布式算法的原理，以及学习路线到底是怎么样的。学习路线学习分布式协议和算法的路线可以是先学习四大基础理论，作为地基，再学习分布式协议和算法，就像是在地基上建房子。地基打好了，才能建更稳固的高楼大厦。四大基础理论拜占庭将军问题 CAP 理论 ACID 理论 BASE 理论八大分布式协议和算法 Paxos 算法 Raft 算法一致性 Hash 算法 Gossip 协议算法 Quorum NWR 算法 FBFT 算法 POW 算法 Z...

2020-12-14

455

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。