SSH协议及其在Windows平台上的实现技术综述报告.docx

1、SSH协议及其在Windows平台上的实现技术综述报告目 录一、问题背景概述 1二、协议分析说明分析 12.1协议规范概述 12.2需解决的问题 12.3重点和难点 1三、实现条件及系统解决方案 13.1系统实现条件 / 环境配置说明 13.2系统解决方案 2四、实验方案设计及实现 24.1实验方案设计说明 24.2实验步骤 / 实现过程说明 3五、方案分析评估 35.1和其他备选方案的分析比较 35.2方案评估分析 3六、前景展望 36.1本课题的不足之处和可改进之处 36.2技术前景展望 / 下一步的工作 3附录A参考文献 4一、问题背景SSH协议出现之前，在网络设备管理上广泛应用的一种方

2、式是Telnet。 Telnet协议的优势在于通过它可以远程地登录到网络设备上，对网络设备进行配置，为网络管理员异地管理网络设备提供了极大的方便。但是，Telnet协议存在三个致命的弱点： 数据传输采用明文方式，传输的数据没有任何机密性可言。认证机制脆弱。用户的认证信息在网络上以明文方式传输，很容易被窃听； Telnet只支持传统的密码认证方式，很容易被攻击。.客户端无法真正识别服务器的身份，攻击者很容易进行“伪服务器欺骗”。SSH协议正是为了克服Telnet协议存在的问题而诞生的。网络中另外一个广泛应用的协议 FTP，也面临着和 Telnet相同的问题。为了解决FTP应用中的安全性问题，在S

3、SH协议基础上扩展了对FTP安全性的支持，即SFTP。问题背景概述二、协议分析说明分析2.1协安全外壳协议（SSH）是一种在不安全网络上提供安全远程登录及其它安全网络服务的协议。Secure Shell，又可记为S S H，最初是U N I X系统上的一个程序，后来又迅速扩展到其他操作平台。S S H是一个好的应用程序，在正确使用时，它可以弥补网络中的漏洞。除此以外， S S H之所以酷，还有以下原因：S S H客户端适用于多种平台。几乎所有的U N I X平台包括H P - U X、L i n u x、A I X、S o l a r i s、Digital UNIX、I r i x、S C

4、O，以及其他平台都可以运行S S H。而且，已经有一些客户端(其中有些为测试版)可以运行于U N I X操作平台以外，包括O S / 2、V M S、B e O S、J a v a、Wi n d o w s 9 5 / 9 8和Windows NT。这样，你就可以在几乎所有的平台上运行S S H客户端程序了。对非商业用途它是免费的。许多S S H版本可以获得源代码，并且只要不用于商业目的，都可以免费得到。而且，U N I X版本也提供了源代码，这就意味着任何人都可以对它进行修改。但是，如果你选择它用于商业目的，那么无论使用何种版本的S S H，你都得确认已经注册并获得了相应权限。绝大多数S S

5、 H的客户端和守护进程都有一些注册限制。惟一的S S H通用公共注册(General Public License，G P L )版本是l s h，它目前还是测试版。通过I n t e r n e t传送密码安全可靠。这是S S H被认可的优点之一。如果你考察一下接入ISP(Internet Service Provider，I n t e r n e t服务供应商)或大学的方法，一般都是采用Te l n e t或P O P邮件客户进程。因此，每当要进入自己的账号时，你输入的密码将会以明码方式发送(即没有保护，直接可读)，这就给攻击者一个盗用你账号的机会最终你将为他的行为负责。对应用的支持。由

6、于S S H的源代码是公开的，所以在U N I X世界里它获得了广泛的认可。L i n u x，其源代码也是公开的，大众可以免费获得，并同时获得了类似的认可。这就使得所有开发者(或任何人)都可以通过补丁程序或b u g修补来提高其性能，甚至还可以增加功能。这也第一部分获得并安装S S H意味着其性能可以不断得到提高而无须得到来自原始创作者的直接技术支持。S S H替代了不安全的远程应用程序。S S H是设计用来替代伯克利版本的r命令集的；它同时继承了类似的语法。其结果是，使用者注意不到使用S S H和r命令集的区别。利用它，你还可以干一些很酷的事。通过使用S S H，你在不安全的网络中发送信息

7、时不必担心会被监听。你也可以使用P O P通道和Te l n e t方式，通过S S H可以利用P P P通道创建一个虚拟个人网络( Virtual Private Network, V P N )。S S H也支持一些其他的身份认证方法，如K e r b e r o s和安全I D卡等。 但是因为受版权和加密算法的限制，现在很多人都转而使用OpenSSH。 OpenSSH是SSH的替代软件，而且是免费的，可以预计将来会有越 来越多的人使用它而不是SSH。 SSH是由客户端和服务端的软件组成的，有两个不兼容的版本分别是：1.x和2.x。 用SSH 2.x的客户程序是不能连接到SSH 1.x的服

8、务程序上去的。OpenSSH 2.x同时支持SSH 1.x和2.x。 SSH 主要有三部分组成： 传输层协议 SSH-TRANS 提供了服务器认证，保密性及完整性。此外它有时还提供压缩功能。 SSH-TRANS 通常运行在 TCP/IP连接上，也可能用于其它可靠数据流上。 SSH-TRANS 提供了强力的加密技术、密码主机认证及完整性保护。该协议中的认证基于主机，并且该协议不执行用户认证。更高层的用户认证协议可以设计为在此协议之上。 用户认证协议 SSH-USERAUTH 用于向服务器提供客户端用户鉴别功能。它运行在传输层协议 SSH-TRANS 上面。当 SSH-USERAUTH 开始后，它

9、从低层协议那里接收会话标识符（从第一次密钥交换中的交换哈希 H ）。会话标识符唯一标识此会话并且适用于标记以证明私钥的所有权。 SSH-USERAUTH 也需要知道低层协议是否提供保密性保护。 连接协议 SSH-CONNECT 将多个加密隧道分成逻辑通道。它运行在用户认证协议上。它提供了交互式登录话路、远程命令执行、转发 TCP/IP 连接和转发 X11 连接。 一旦建立一个安全传输层连接，客户机就发送一个服务请求。当用户认证完成之后，会发送第二个服务请求。这样就允许新定义的协议可以与上述协议共存。连接协议提供了用途广泛的各种通道，有标准的方法用于建立安全交互式会话外壳和转发（“隧道技术”）专

10、有 TCP/IP 端口和 X11 连接。 通过使用SSH，你可以把所有传输的数据进行加密，这样中间人这种攻击方式就不可能实现了，而且也能够防止DNS欺骗和IP欺骗。使用SSH，还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替Telnet，又可以为FTP、PoP、甚至为PPP提供一个安全的通道。 SSH分为两部分：客户端部分和服务端部分。 服务端是一个守护进程(demon)，他在后台运行并响应来自客户端的连接请求。服务端一般是sshd进程，提供了对远程连接的处理，一般包括公共密钥认证、密钥交换、对称密钥加密和非安全连接。 客户端包含ssh程序以

11、及像scp（远程拷贝）、slogin（远程登陆）、sftp（安全文件传输）等其他的应用程序。 他们的工作机制大致是本地的客户端发送一个连接请求到远程的服务端，服务端检查申请的包和IP地址再发送密钥给SSH的客户端，本地再将密钥发回给服务端，自此连接建立。刚才所讲的只是SSH连接的大致过程，SSH 1.x和SSH 2.x在连接协议上还有着一些差异。 SSH被设计成为工作于自己的基础之上而不利用超级服务器(inetd)，虽然可以通过inetd上的tcpd来运行SSH进程，但是这完全没有必要。启动SSH服务器后，sshd运行起来并在默认的22端口进行监听（你可以用 # ps -waux | grep

12、 sshd 来查看sshd是否已经被正确的运行了）如果不是通过inetd启动的SSH，那么SSH就将一直等待连接请求。当请求到来的时候SSH守护进程会产生一个子进程，该子进程进行这次的连接处理。 SSH:新的MVC软件开发模式， SSH（Struts，Spring，Hibernate） Struts进行流程控制，Spring进行业务流转，Hibernate进行数据库操作的封装，这种新的开发模式让我们的开发更加方便、快捷、思路清晰！ 协议规范概述SSH（SecureShll）是强化安全的远程登录方式，过去使用的rsh和telnet，因为包括登录时的ID和密码数据没有加密就传到网络上，存在安全上的

13、问题。即使在内部网上，也有在因特网上的窃取和篡改等危险性。SSH将包括密码在内的所有数据都已进行了加密处理，可以进行更安全的远程操作。在SSH中，由于协议标准的不同而存在SSH1和SSH2两个不同的版本。SSH2是为了回避SSH1所使用的加密算法的许可证问题而开发的（现在这一许可证问题已经不存在了）。TLES 8中作为安装SSH协议的应用程序采用了开放源码的OpenSSH。OpenSSH与SSH1和SSH2的任何一个协议都能对应，但默认使用SSH2。三、实现条件及系统解决方案3.1系统实现条件 / 环境配置说明例如：本课程设计的系统实现条件或环境配置可参考如下几张样表加以描述：一、计算机硬件设

14、备配置设备名称规格、型号、参数数量备注说明内存 2G以上1CPUIntel Pentium 1G以上1硬盘Seagate 500G以上1网卡3Com 10 /100M自适应网卡1二、计算机软件配置软件名称版本说明数量备注说明操作系统Windows 2000 三种版本均可1E-Mail工具中文OutLook Express v6.0版1客户端软件PGP Desktop v7.10 Licensed1服务器端软件Legend1三、系统网络配置项目名称配置说明数量机器名 / 地址标识备注说明Web服务器IIS 5.0版本1Server1：192.168.203.4客户端PC1Legend E3901

15、Station1：192.168.203.1客户端PC2Legend E3901Station2：192.168.203.2四、相关网络设备配置设备名称规格、型号、参数数量备注说明集线器Legend 8 ports1交换机Cisco 2950 12 ports1路由器Cisco 1600 8 ports13.2系统解决方案(1) 客户端随机选择一个私钥 Xc，1Xcp-1，计算出 Yc=gXc mod p，将计算出的 Yc发送给服务器端。其中，p是一个很大的素数，g是p的素根。p和 g是双方共有的一对参数，协议允许双方通过协商获得相同的p和 g参数。 (2) 服务器也随机生成一个私钥Xs，1X

16、sp-1，计算出 YsgXs mod p，也将计算出的Ys发送给客户端。 (3)服务器接收到客户端发送过来的 Yc，按照下面的公式计算出密钥：K （Yc）Xs mod p (4) 客户端收到服务器端发送过来的Ys，同样按照下面的公式计算出密钥：K （Ys）Xc mod p通过上面的方法，客户端和服务器端就可以获得相同的密钥。由上面的分析可以看出，密钥交换算法的安全性建立在计算离散对数的难度之上。算式Y=gx mod p中，由X计算Y是很容易的，但是要由Y计算X是非常困难的。在密钥交换算法中对外公开的只有p、g、Yc和Ys，私钥Xc和Xs是保密的，其他用户即便获取了p、g、Yc和Ys也很难推断出

17、私钥 Xc和Xs，从而保证了密钥的安全性。四、实验方案设计及实现4.1实验方案设计说明本着少花钱办大事的原则，充分利用有限的投资，在保证网络先进性的前提下，选用性能价格比最好的设备，我们认为SSH建设应该遵循以下原则：1 先进性以先进、成熟的网络通信技术进行组网，支持数据、语音、视像等多媒体应用，用基于交换的技术替代传统的基于路由的技术。 2 标准化和开放性 网络协议采用符合ISO及其他标准，采用遵从国际和国家标准的网络设备。 3 可靠性和可用性 选用高可靠的产品和技术，充分考虑系统在程序运行时的应变能力和容错能力，确保整个系统的安全与可靠。 4 灵活性和兼容性 选用符合国际发展潮流的国际标准

18、的软件技术，以便系统有可靠性强、可扩展和可升级等特点，保证今后可迅速采用计算机网络发展出现的新技术，同时为现存不同的网络设备、小型机、工作站、服务器、和微机等设备提供入网和互连手段。系统的灵活性主要表现在软件配置与负载平衡等方面，配合交换机产品与路由器产品支持的最先进的虚拟网络技术，整个网络系统可以通过软件快速简便地将用户或用户组从一个网络转移到另一个网络，可以跨越办公室、办公楼，而无需任何硬件的改变，以适应机构的变化。同时也可以通过平衡网络的流量，以提高网络的性能。5 实用性和经济性 从实用性和经济性出发，着眼于近期目标和长期的发展，选用先进的设备，进行最佳性能组合，利用有限的投资构造一个性

19、能最佳的网络系统。 6 安全性和保密性 在接入Internet的情况下，必须保证网上信息和各种应用系统的安全。 扩展性和升级能力， 网络设计应具有良好的扩展性和升级能力，选用具有良好升级能力和扩展性的设备。在以后对该网络进行升级和扩展时，必须能保护现有投资。应支持多种网络协议、多种高层协议和多媒体应用。 4.2实验步骤 / 实现过程说明（1）网络设置根据要求windows XP和虚拟机的网络设置如下：一、 实验步骤：1、设置本机网卡的IP地址：10.1.3.111子网掩码：255.255.255.0,如图1图12、编辑主配置文件vi_/etc/ssh/sshd_config，完成相关参数配置，

20、如图2，单击回车键，进入如图3和4的界面，把监听端口Port 改为2222，PermitRootLogin改为no同时将Port 和 permitaRootLIogin的#号删到图2图3图43、重新启动ssh服务，输入命令：service sshd restart,单击回车键，如图5图54、用超级用户Root登陆，输入命令为：ssh root10.1.3.111 -p 2222,登陆被拒绝，则为正确，如图6图65、建立本地用户chenjiating和用户密码，如图7图76、用本地用户chenjiating登陆，输入命令为：ssh chenjiating 10.1.3.111 p 2222,若要

21、密码登陆，则为操作正确，并输入exit退出到超级用户下，如图8图87、RSA 密钥对的生成，输入命令：ssh-keygen t rsa,如图9图98、创建存放用户chenjiating的私钥文件：mkdir /home/chenjiating/.ssh，如图10图109、上传非对称公钥，改名为/home/chenjiating/.ssh/authorized_keys,如图11图11四、实验测试用本地用户chenjiating登陆，输入ssh chenjiating10.1.3.111 -p 2222,若不需密码登陆，则为正确，如图12图12一、 方案比较该方案简单方便 更容易掌握 方便操作实

22、验得到协议既可以提供主机认证，又提供用户认证，同时还提供数据压缩，数据机密性和完整性保护。的不足之处在于他使用的是手工分发并预配置的公匙而非基于证书的密匙管理。与和相比，这是的主要缺陷。但从协议开始允许一同使用证书和密匙，将来在产品中把这种特性和通用的一起实现，这样可以降低密匙管理的负担并提供更强大的安全保障。虽然还有其不足之处，但相对于和专业防火墙的复杂性和费用来说，也不失为一种可行的网络安全解决方案，尤其适合中小企业部署应用。解决了许多和网络有关的安全漏洞，有效地防止了网络窃听（）、欺骗、欺骗、连接劫持（）、插入攻击（）和中间人攻击（）等，但并没有解决全部问题，尤其是他仍然容易受到针对底层

23、缺陷而发起的服务器拒绝攻击（）；他也不能解决一些考虑环境因素而产生的攻击方法，例如流量分析和隐秘通道；也不能防止出现病毒，木马和咖啡豆（）。对于的缺陷引起的问题，只能通过更低级的网络层技术才能很好的解决，例如硬件链路加密或；对于流量分析攻击，可以在空闲时发送一些随机的，非操作性的信息来干扰活动状态的分析 、方案分析评估5.1和其他备选方案的分析比较该方案简单方便 更容易掌握 方便操作实验得到协议既可以提供主机认证，又提供用户认证，同时还提供数据压缩，数据机密性和完整性保护。的不足之处在于他使用的是手工分发并预配置的公匙而非基于证书的密匙管理。与和相比，这是的主要缺陷。但从协议开始允许一同使用证

24、书和密匙，将来在产品中把这种特性和通用的一起实现，这样可以降低密匙管理的负担并提供更强大的安全保障。虽然还有其不足之处，但相对于和专业防火墙的复杂性和费用来说，也不失为一种可行的网络安全解决方案，尤其适合中小企业部署应用。解决了许多和网络有关的安全漏洞，有效地防止了网络窃听（）、欺骗、欺骗、连接劫持（）、插入攻击（）和中间人攻击（）等，但并没有解决全部问题，尤其是他仍然容易受到针对底层缺陷而发起的服务器拒绝攻击（）；他也不能解决一些考虑环境因素而产生的攻击方法，例如流量分析和隐秘通道；也不能防止出现病毒，木马和咖啡豆（）。对于的缺陷引起的问题，只能通过更低级的网络层技术才能很好的解决，例如硬件

25、链路加密或；对于流量分析攻击，可以在空闲时发送一些随机的，非操作性的信息来干扰活动状态的分析5.2方案评估分析数据传输采用密文的方式，保证信息交互的机密性；用户的认证信息以密文的方式传输，可以有效地防止用户信息被窃听；除了传统的密码认证，SSH服务器还可以采用多种方式对用户进行认证（如安全性级别更高的公钥认证），提高了用户认证的强度；客户端和服务器端之间通信使用的加解密密钥，都是通过密钥交互过程动态生成的，可以防止对加解密密钥的暴力猜测，安全性级别比手工配置密钥的方式高六、前景展望6.1技术前景展望 / 下一步的工作SSH协议框架中设计了大量可扩展的冗余能力，比如用户自定义算法、客户自定义密钥规则、高层扩展功能性应用协议。这些扩展大多遵循 IANA 的有关规定，特别是在重要的部分，像命名规则和消息编码方面。附录A参考文献参考文献1 Daniel J. Barrett,Richard E. Silverman，SSH权威指南，中国电力出版社，2008.2 王华等，Delphi 5编程实例与技巧，机械工业出版社，2010.3 (美)Steve Teixeira，Delphi 5开发人员指南，机械工业出版社，2010.4 IETF，SSH DRAFT IETF，http:/www.ietf.org，2009.4.5TCP/IP基础.电子工业出版社.2008.6；