淺談ssh“安全殼層”協議
傳統的網路服務程式，如：ftp、pop和telnet在本質上都是不安全的，因為它們在網路上用明文傳送口令和資料，別有用心的人非常容易就可以截獲這些口令和資料。而且，這些服務程式的安全驗證方式也是有其弱點的， 就是很容易受到“中間人”（man-in-the-middle）這種方式的攻擊。所謂“中間人”的攻擊方式， 就是“中間人”冒充真正的伺服器接收你的傳給伺服器的資料，然後再冒充你把資料傳給真正的伺服器。 伺服器和你之間的資料傳送被“中間人”一轉手做了手腳之後，就會出現很嚴重的問題。
SSH的英文全稱是SecureShell。通過使用SSH，你可以把所有傳輸的資料進行加密，這樣“中間人”這種攻擊方式就不可能實現了， 而且也能夠防止DNS和IP欺騙。還有一個額外的好處就是傳輸的資料是經過壓縮的，所以可以加快傳輸的速度。 SSH有很多功能，它既可以代替telnet，又可以為ftp、pop、甚至ppp提供一個安全的“通道”。
第一種層級（基於口令的安全驗證）只要你知道自己帳號和口令，就可以登入到遠程主機。所有傳輸的資料都會被加密， 但是不能保證你正在已連線的服務器就是你想已連線的服務器。可能會有別的伺服器在冒充真正的伺服器， 也就是受到“中間人”這種方式的攻擊。
第二種層級（基於密匙的安全驗證）需要依靠密匙，也就是你必須為自己建立一對密匙，並把公用密匙放在需要訪問的伺服器上。 如果你要串連到SSH伺服器上，用戶端軟體就會向伺服器發出請求，請求用你的密匙進行安全驗證。伺服器收到請求之後， 先在該伺服器的家目錄下尋找你的公用密匙，然後把它和你發送過來的公用密匙進行比較。如果兩個密匙一致， 伺服器就用公用密匙加密“質詢”（challenge）並把它發送給用戶端軟體。 用戶端軟體收到“質詢”之後就可以用你的私人密匙解密再把它發送給伺服器。
用這種方式，你必須知道自己密匙的口令。但是，與第一種層級相比，第二種層級不需要在網路上傳送口令。
第二種層級不僅加密所有傳送的資料，而且“中間人”這種攻擊方式也是不可能的（因為他沒有你的私人密匙）。 但是整個登入的過程可能需要10秒。
以下操作就是採用第二種方式，但秘鑰的產生是在伺服器上。
環境：linux-rhel6.4
客戶主機：server36
伺服器：server47
1.產生密鑰：
[root@server47 .ssh]# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa): （指定儲存密鑰的檔案，選擇預設即可）
Enter passphrase (empty for no passphrase): xxxxx（輸入密碼,應大於5位）
Enter same passphrase again:xxxxx（再次輸入密碼）
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
a4:ce:10:3a:e4:b2:14:46:dd:31:5c:52:6c:ef:f7:b5 root@server47.example.com
The key's randomart image is:
+--[ RSA 2048]----+
| .. o+=o |
|. . ooo |
| o. . . o |
|.o.. . o . |
|..+ . . S |
|.o . + . . . |
|. o . . . .|
| . E |
| |
+-----------------+
[root@server47 .ssh]# ls
id_rsa id_rsa.pub known_hosts
其中：id_rsa是私密金鑰，即鑰匙，id_rsa.pub是公開金鑰即鎖頭
2.用鎖頭對192.168.74.147主機的root使用者加密：
[root@server47 .ssh]# ssh-copy-id -i id_rsa.pub root@192.168.74.147
The authenticity of host '192.168.74.147 (192.168.74.147)' can't be established.
RSA key fingerprint is c0:bc:87:97:a2:06:fb:e1:fa:78:4b:93:6c:81:71:72.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.74.147' (RSA) to the list of known hosts.
root@192.168.74.147's password:
Now try logging into the machine, with "ssh 'root@192.168.74.147'", and check in:
.ssh/authorized_keys
to make sure we haven't added extra keys that you weren't expecting.
[root@server47 .ssh]# ls
authorized_keys id_rsa id_rsa.pub known_hosts
#出現authorized_keys檔案表示已加密，若檔案authorized_keys被刪，執行“cpid_rsa.pubauthorized_keys”命令即可
3.共用私密金鑰
方法一，用scp遠程拷貝：
[root@server47 .ssh]# scp id_rsa 192.168.74.136:/root/.ssh/
root@192.168.74.136's password:
id_rsa 100% 1743 1.7KB/s 00:00
方法二，使用網際網路共用：
[root@server47 .ssh]# cp id_rsa /var/www/html/
[root@server47 html]# chmod 644 id_rsa
4.下載密鑰：
[root@server36 .ssh]# wget http://192.168.74.147/id_rsa
--2014-12-29 05:13:04-- http://192.168.74.147/id_rsa
Connecting to 192.168.74.147:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 1743 (1.7K) [text/plain]
Saving to: “id_rsa”
100%[======================================>] 1,743 --.-K/s in 0s
2014-12-29 05:13:04 (127 MB/s) - “id_rsa” saved [1743/1743]
5. 更改許可權：
[root@server36 .ssh]# chmod 600 id_rsa
6.ssh串連解密：
[root@server36 .ssh]# ssh 192.168.74.147
Enter passphrase for key '/root/.ssh/id_rsa':
Last login: Thu Aug 7 23:40:30 2014 #解密成功
註：1.因用命令wget網路下載id_rsa檔案，故需執行命令chmod 644 id_rsa，使id_rsa檔案有可執行許可權
2.chmod 600 id_rsa命令作用：避免許可權過大，若未使用此命令，則會出現如下錯誤：
[root@server36 .ssh]# ssh 192.168.74.147
The authenticity of host '192.168.74.147 (192.168.74.147)' can't be established.
RSA key fingerprint is c0:bc:87:97:a2:06:fb:e1:fa:78:4b:93:6c:81:71:72.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '192.168.74.147' (RSA) to the list of known hosts.
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: UNPROTECTED PRIVATE KEY FILE! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
Permissions 0644 for '/root/.ssh/id_rsa' are too open.
It is recommended that your private key files are NOT accessible by others.
This private key will be ignored.
bad permissions: ignore key: /root/.ssh/id_rsa
root@192.168.74.147's password:
