SSH

Kokeneet kirjoittajat eivät ole vielä tarkistaneet sivun nykyistä versiota, ja se voi poiketa merkittävästi 12.6.2019 tarkistetusta versiosta . tarkastukset vaativat 23 muokkausta .
SSH
Nimi Secure Shell
Taso ( OSI-mallin mukaan ) Sovellettu
Perhe TCP/IP
Portti/ID 22/ TCP
Protokollan tarkoitus Etäyhteys
Erittely RFC 4251
Tärkeimmät toteutukset (asiakkaat) OpenSSH , PuTTY / KITTY , SecureCRT , Xshell
Ydintoteutukset ( palvelimet ) OpenSSH
 Mediatiedostot Wikimedia Commonsissa

SSH ( eng.  Security Shell  - "secure shell" [ 1 ] ) on sovelluskerroksen verkkoprotokolla , jonka avulla voit etäohjata käyttöjärjestelmää ja tunneloida TCP -yhteyksiä (esimerkiksi tiedostojen siirtämiseen). Toiminnaltaan samanlainen kuin Telnet- ja rlogin-protokollat , mutta toisin kuin ne, salaa kaiken liikenteen, mukaan lukien lähetetyt salasanat . SSH mahdollistaa erilaisten salausalgoritmien valinnan. SSH - asiakkaat ja SSH - palvelimet ovat saatavilla useimpiin verkkokäyttöjärjestelmiin.

SSH mahdollistaa lähes minkä tahansa muun verkkoprotokollan turvallisen siirtämisen turvattomassa ympäristössä . Siten et voi vain työskennellä tietokoneella etätyöskentelyä komentotulkin kautta , vaan myös lähettää äänivirtaa tai videota salatun kanavan kautta (esimerkiksi verkkokamerasta ) [2] . SSH voi myös käyttää lähetettyjen tietojen pakkausta myöhempään salaukseen, mikä on kätevää esimerkiksi X Window System -asiakkaiden etäkäynnistykseen .

Useimmat isännöintipalveluntarjoajat tarjoavat asiakkaille SSH -pääsyn kotihakemistoonsa maksua vastaan. Tämä voi olla kätevää sekä komentorivillä että ohjelmien (mukaan lukien graafisten sovellusten) etäkäynnistykseen.

Protokollan tekniset tiedot

SSH on sovelluskerroksen protokolla. SSH-palvelin kuuntelee tyypillisesti yhteyksiä TCP-portissa 22. SSH-2-protokollaspesifikaatio on RFC 4251 :ssä . Palvelimen todentamiseen SSH käyttää RSA- tai DSA - digitaalisiin allekirjoitusalgoritmeihin perustuvaa osapuolen todennusprotokollaa , mutta myös salasanatodennus (taaksepäin yhteensopiva tila Telnetin kanssa ) ja jopa isännän IP-osoite (taaksepäin yhteensopiva tila rloginin kanssa ) ovat myös sallittuja.

  1. Salasanatodennus on yleisin. Kuten https , jokainen yhteys luo jaetun salaisen avaimen liikenteen salaamiseksi.
  2. Avainparin todentamisessa julkisen ja yksityisen avaimen pari luodaan valmiiksi tietylle käyttäjälle. Laitteessa, josta haluat muodostaa yhteyden, yksityinen avain on tallennettu ja etäkoneeseen julkinen avain. Näitä tiedostoja ei siirretä todennuksen aikana, järjestelmä vain tarkistaa, että julkisen avaimen omistaja omistaa myös yksityisen avaimen. Tällä lähestymistavalla automaattinen sisäänkirjautuminen määritetään yleensä käyttöjärjestelmässä tietyn käyttäjän puolesta .
  3. IP-osoitteen todennus ei ole turvallista, tämä ominaisuus on useimmiten pois käytöstä.

Diffie-Hellman (DH) -algoritmia käytetään luomaan jaettu salaisuus (istuntoavain ). Lähetettävät tiedot salataan symmetrisellä salauksella , AES- , Blowfish- tai 3DES-algoritmeilla . Tiedonsiirron eheys tarkistetaan CRC32 :lla SSH1:ssä tai HMAC - SHA1 / HMAC - MD5 :llä SSH2:ssa.

Salattujen tietojen pakkaamiseen voidaan käyttää LempelZiv (LZ77 ) -algoritmia, joka tarjoaa saman pakkaustason kuin ZIP -arkistointiohjelma . SSH-pakkaus otetaan käyttöön vain asiakkaan pyynnöstä, ja sitä käytetään harvoin käytännössä.

Historia ja kehitys

Versio 1.x

Vuonna 1995 Teknillisen korkeakoulun tutkija Tatu Ylönen kehitti protokollan ensimmäisen version (nykyinen SSH-1), jonka laukaisi salasanan kaivoshyökkäys yliopiston verkkoon. SSH:n tavoitteena oli korvata aiemmat protokollat ​​rlogin, TELNET, FTP [16] ja rsh, jotka eivät tarjonneet vahvaa todennusta ja yksityisyyttä. Ylönen julkaisi toteutuksensa ilmaisena ohjelmistona heinäkuussa 1995, ja työkalu saavutti nopeasti suosion. Vuoden 1995 loppuun mennessä SSH:n käyttäjäkunta oli kasvanut 20 000 käyttäjään viidessäkymmenessä maassa.

Joulukuussa 1995 Ylönen perusti SSH Communications Securityn edistämään ja kehittämään SSH:ta. SSH-ohjelmiston alkuperäinen versio käytti useita ilmaisia ​​ohjelmistoja, kuten GNU libgmp, mutta myöhemmät SSH Communications Securityn julkaisemat versiot ovat kehittyneet yhä enemmän omaisiksi ohjelmistoiksi.

Vuoteen 2000 mennessä käyttäjien määrän arvioitiin nousseen 2 miljoonaan.

Versio 2.x

"Secsh" oli Internet Engineering Task Forcen (IETF) virallinen nimi SSH-protokollan versiosta 2 vastaavalle IETF-työryhmälle. Vuonna 2006 päivitetty versio SSH-2-protokollasta otettiin käyttöön standardina. Tämä versio ei ole yhteensopiva SSH-1:n kanssa. SSH-2 sisältää sekä suojauksen että parannettuja ominaisuuksia SSH-1:een verrattuna. Parempi tietoturva saavutetaan esimerkiksi Diffie-Hellman-avaintenvaihdolla ja vahvalla eheyden tarkistuksella viestien todennuskoodeilla. Uusiin SSH-2-ominaisuuksiin kuuluu mahdollisuus käynnistää mikä tahansa määrä shell-istuntoja yhden SSH-yhteyden kautta. SSH-2:n paremmuuden ja suosion vuoksi SSH-1:een verrattuna jotkin toteutukset, kuten libssh (v0.8.0+), Lsh ja Dropbear, tukevat vain SSH-2-protokollaa.

Versio 1.99

Tammikuussa 2006, paljon version 2.1 luomisen jälkeen, RFC 4253 määritti, että SSH-palvelimen, joka tukee sekä 2.0:aa että aiempia SSH-versioita, tulee tunnistaa prototyyppiversionsa versioksi 1.99. Tämä ei ole ajan tasalla oleva versio, vaan menetelmä taaksepäin yhteensopivuuden määrittämiseksi.

OpenSSH ja OSSH

Vuonna 1999 kehittäjät, jotka halusivat ilmaisen version ohjelmistosta, palasivat alkuperäisen SSH-ohjelman vanhaan versioon 1.2.12, joka julkaistiin viimeksi avoimen lähdekoodin lisenssillä. Bjorn Grönwallin OSSH kehitettiin myöhemmin tästä koodikannasta. Pian tämän jälkeen OpenBSD -kehittäjät jakoivat Grönlannin koodin ja tekivät paljon työtä sen parissa luoden OpenSSH :n, joka toimitettiin OpenBSD:n 2.6-version mukana. Tästä versiosta alkaen muodostettiin "siirrettävyys"-haara, joka portti OpenSSH:n muihin käyttöjärjestelmiin.

Vuodesta 2005 lähtien OpenSSH oli SSH:n suosituin toteutus, joka sisältyy oletuksena useisiin käyttöjärjestelmiin. OSSH on tällä välin vanhentunut. OpenSSH:n tuki jatkuu ja tukee SSH-2-protokollaa. SSH-1:n tuki poistetaan koodikannasta OpenSSH 7.6:n julkaisun myötä. .

Standardit ja ohjelmistototeutukset

Protokollan ensimmäisen version, SSH-1, kehitti vuonna 1995 tutkija Tatu Ulönen Teknillisestä korkeakoulusta ( Suomi ) . SSH-1 on kirjoitettu yksityisemmäksi kuin rlogin-, telnet- ja rsh-protokollat. Vuonna 1996 protokollasta kehitettiin turvallisempi versio SSH-2, joka ei ole yhteensopiva SSH-1:n kanssa. Protokolla saavutti entisestään suosiota, ja vuoteen 2000 mennessä sillä oli noin kaksi miljoonaa käyttäjää. Tällä hetkellä termi "SSH" viittaa yleensä SSH-2:een, koska protokollan ensimmäistä versiota ei käytännössä käytetä merkittävien puutteiden vuoksi.

Vuonna 2006 protokolla hyväksyttiin IETF -työryhmässä Internet-standardiksi.

Kaksi SSH-toteutusta ovat yleisiä: yksityinen kaupallinen ja ilmainen. Ilmainen toteutus on nimeltään OpenSSH. Vuoteen 2006 mennessä 80 % Internetin tietokoneista käytti OpenSSH:ta. SSH Communications Security, Tectian [3] kokonaan omistama tytäryhtiö, kehittää yksityistä toteutusta , joka on ilmainen ei-kaupalliseen käyttöön. Nämä toteutukset sisältävät lähes saman joukon komentoja.

SSH-1-protokolla, toisin kuin telnet -protokolla , kestää liikenteen haistavia hyökkäyksiä (" sniffing "), mutta ei kestä man-in-the-middle- hyökkäyksiä . SSH-2-protokolla on myös kestänyt keskeltä liittymisen aiheuttamia hyökkäyksiä ( englanniksi  session kaappaus ), koska jo muodostettuun istuntoon ei voi liittyä tai sitä siepata.

Man-in-the-middle -hyökkäysten estämiseksi asiakasohjelmisto näyttää käyttäjälle avaimen sormenjäljen muodostaessaan yhteyden isäntään , jonka avainta asiakas ei vielä tiedä . On suositeltavaa verrata huolellisesti asiakasohjelmiston näyttämää "avainsarjaa" palvelimen avaimiin, jotka on saatu mieluiten luotettavia viestintäkanavia pitkin tai henkilökohtaisesti.  

SSH-tuki on saatavilla kaikissa UNIX - tyyppisissä järjestelmissä, ja useimmissa niistä on ssh-asiakas ja -palvelin vakioapuohjelmina . SSH-asiakkaita on monia toteutuksia myös muille kuin UNIX-käyttöjärjestelmille. Protokolla saavutti suuren suosion liikenneanalysaattoreiden ja paikallisten verkkojen toiminnan häiritsemismenetelmien laajan kehittämisen jälkeen vaihtoehtona turvattomalle Telnet -protokollalle tärkeiden solmujen hallintaan.

SSH vaatii SSH-palvelimen ja SSH-asiakkaan. Palvelin kuuntelee yhteyksiä asiakaskoneista ja, kun yhteys on muodostettu, suorittaa todennuksen , jonka jälkeen se alkaa palvella asiakasta. Asiakasta käytetään kirjautumaan etäkoneeseen ja suorittamaan komentoja.

Yhdistääkseen palvelimen ja asiakkaan on luotava avaimia – julkisia ja yksityisiä – ja vaihdettava julkisia avaimia. Yleensä käytetään myös salasanaa.

SSH-palvelimet

SSH-asiakkaat ja kuoret

SSH-tietoturvavinkit

  1. Etäpääkäyttö kielletty .
  2. Estä yhteys tyhjällä salasanalla tai poista salasanalla kirjautuminen käytöstä.
  3. Epästandardin portin valitseminen SSH-palvelimelle.
  4. Käytä pitkiä SSH2 RSA -avaimia (2048 bittiä tai enemmän). RSA - pohjaisia ​​salausjärjestelmiä pidetään turvallisina, jos avaimen pituus on vähintään 1024 bittiä [5] .
  5. Rajoita niiden IP-osoitteiden luetteloa, joista pääsy on sallittu (esimerkiksi asettamalla palomuuri ).
  6. Pääsykielto joistakin mahdollisesti vaarallisista osoitteista.
  7. Vältä käyttämästä yleisiä tai tunnettuja järjestelmäkirjautumisia SSH - käyttöön .
  8. Tarkista todennusvirheilmoitukset säännöllisesti .
  9. Tunkeutumisen havaitsemisjärjestelmien (IDS) asentaminen .
  10. Käyttämällä koukkuja , jotka väärentävät SSH - palvelua ( honeypot ) .
  11. Teknologian toteutus.

Esimerkkejä SSH:n käytöstä

Komento muodostaa yhteys paikalliseen SSH-palvelimeen GNU/Linux- tai FreeBSD-komentoriviltä pacify-käyttäjälle (palvelin kuuntelee ei-standardista porttia 30000):

$ ssh -p 30000 [email protected]

Avainparien luominen (UNIX-tyyppisessä käyttöjärjestelmässä) suoritetaan komennolla

$ ssh-keygen

4096 bitin pituisten SSH-2 RSA-avainparien luominen puttygenillä UNIX-tyyppisessä käyttöjärjestelmässä:

$ puttygen -t rsa -b 4096 -o näyte

Joillakin asiakkailla, kuten PuTTY:llä, on myös graafinen käyttöliittymä .

SSH:n käyttämiseen Pythonissa on moduuleja, kuten python-paramiko ja python-twisted-conch.

SSH-tunnelointi

SSH-tunneli on SSH-yhteyden kautta luotu tunneli, jota käytetään tunneloidun tiedon salaamiseen. Käytetään tiedonsiirron suojaamiseen Internetissä ( IPsecillä on samanlainen tarkoitus ). Kun välitetään SSH-tunnelin kautta, minkä tahansa protokollan salaamaton liikenne salataan SSH-yhteyden toisessa päässä ja puretaan toisessa.

Käytännön toteutus voidaan tehdä useilla tavoilla:

$ ssh -L 4430 :jabber.example.com:443 somehost

Tässä tapauksessa Jabber-asiakas on määritetty muodostamaan yhteys localhost-palvelimen porttiin 4430 (jos ssh-asiakas on käynnissä samassa koneessa kuin Jabber-asiakas).

Ssh-tunnelin luomiseen tarvitaan kone, jossa on käynnissä ssh-palvelin ja pääsy osoitteeseen jabber.example.com. Tätä kokoonpanoa voidaan käyttää, jos palomuuri estää pääsyn osoitteeseen jabber.example.com paikalliselta koneelta, mutta siellä on pääsy johonkin ssh-palvelimeen, jolla ei ole Internet-käyttörajoituksia.

Katso myös

Muistiinpanot

  1. ↑ Käännösvaihtoehto Yu. A. Semjonovilta. Arkistokopio 2. helmikuuta 2008 Wayback Machinessa
  2. ↑ Tämä käyttää portin edelleenlähetystä , arkistoitu 16. joulukuuta 2005 Wayback Machinen TCP - yhteyksissä .
  3. ↑ Tietoja SSH Communications Securitysta Arkistoitu 9. heinäkuuta 2012 Wayback Machinessa 
  4. ↑ Ohjeet ssh-palvelimen asentamiseen Windowsille Cygwinin kautta (linkki, jota ei voi käyttää) . Käyttöpäivä: 27. tammikuuta 2009. Arkistoitu alkuperäisestä 20. tammikuuta 2009. 
  5. ↑ CyberSecurity.ru: "768-bittinen RSA-avain murtui onnistuneesti" Arkistoitu 14. tammikuuta 2010 Wayback Machinessa . 1.8.2010

Linkit

Standardit
  • RFC 4250 - Secure Shell  (  SSH) -protokollalle annetut numerot
  • RFC 4251   - Secure Shell (SSH) -protokollaarkkitehtuuri
  • RFC 4252   – Secure Shell (SSH) -todennusprotokolla
  • RFC 4253 - Secure Shell  (  SSH) Transport Layer Protocol
  • RFC 4254   - Secure Shell (SSH) -yhteysprotokolla
  • RFC 4255  –  DNS:n käyttäminen Secure Shell (SSH) -avainsormenjälkien julkaisemiseen turvallisesti
  • RFC 4256  -  Generic Message Exchange Authentication for the Secure Shell Protocol (SSH)
  • RFC 4335 - Secure Shell  (  SSH) istuntokanavakatkon laajennus
  • RFC 4344   - SSH (Secure Shell) kuljetuskerroksen salaustilat
  • RFC 4345  -  Parannetut Arcfour-tilat Secure Shell (SSH) -kuljetuskerrosprotokollalle
  • RFC 4419  -  Diffie-Hellman Group Exchange for the Secure Shell (SSH) Transport Layer Protocol
  • RFC 4432  –  RSA-avainten vaihto Secure Shell (SSH) -kuljetuskerrosprotokollalle
  • RFC 4716 - Secure Shell  (  SSH) julkisen avaimen tiedostomuoto
SSH-asiakkaat
  • OpenSSH  on ilmainen kirjasto ja joukko apuohjelmia salauksen tukemiseen
  • PuTTY  on suosittu cross-platform SSH-asiakas.
  • https://serveauditor.com/ - suosittu mobiili-alustojen välinen SSH-asiakas (Android, iOS, Google Chrome)
  • SSH-asiakkaiden  vertailu
Tiedostojen käyttöohjelmat muu
 URI- järjestelmät
Virallinen
epävirallinen