年初，新冠肺炎疫情的呈现，全国数千万名员工在家近程办公，应用集体设施通过家庭网络拜访公司材料。因而，IT 平安团队面临了泛滥新挑战：如何施行更加平安的身份验证计划，以确保只有受权人员和设施能力拜访公司敏感资产？
不少小伙伴想起了 SSH，其实大家对它都比拟相熟。大到虚拟机、服务器，小到手机、家电，Linux 设施遍及越来越广，SSH 的使用也越来越宽泛。不仅攻城狮、程序猿离不开它，普通用户也根本都在应用。SSH 能够说是各服务器的标配，有了 SSH，咱们不用每次都要蹲到机房里连贯服务器配置服务器，间接近程就能够操作，同样，有了 SSH，也能解决近程办公的一些安全性问题。
上面咱们就来具体理解一下 SSH 的传奇故事。
什么是 SSH
SSH（Secure Shell）是一种加密的网络传输协定，它容许用户通过 Internet 管制和批改近程服务器。该协定的呈现代替了未加密的登录协定（例如 telnet/rlogin）和不平安的文件传输办法（例如 FTP），并应用了加密技术来确保与近程服务器之间的所有通信都以加密的形式进行。它提供了一种机制，用于验证近程用户，将输出从客户端传输到服务器，以及将输入中继回客户端。
SSH 提供了弱小的加密和完整性爱护。在客户端和服务器之间建设连贯后，SSH 将依据设置中协商的参数对传输的数据进行加密。在协商过程中，客户端和服务器依据应用的对称加密算法达成统一，并生成将要应用的加密密钥。通信单方之间的通信受到行业标准的强加密算法（例如 AES（高级加密规范））的爱护，并且 SSH 协定还包含一种机制，该机制通过应用规范哈希算法（例如 SHA）来确保传输数据的完整性。
SSH 除了提供弱小的加密性能外，网络管理员还宽泛应用 SSH 近程管理系统和应用程序，交付软件补丁或执行命令并挪动文件。
SSH 协定如何工作
任何 Linux 或 macOS 用户都能够间接从终端窗口通过 SSH 进入其余近程服务器。而 Windows 用户能够利用 Xshell、Putty 之类的 SSH 客户端。进入之后就能够与间接操作近程计算机雷同的形式执行 Shell 命令。
SSH 默认在 TCP 端口 22 上运行（能够依据需要批改）。服务器在 22 端口上监听传入的连贯。如果验证胜利，它将对客户端进行身份验证并关上正确的通道来进行平安连贯。客户端必须通过与服务器启动 TCP 握手，确保安全的对称连贯，验证服务器显示的身份是否与以前的记录（通常记录在 RSA 密钥存储文件中）匹配，并提供所需的用户凭据来开始 SSH 连贯。
服务器（主机）身份验证
SSH 协定内置于 Unix 和 Linux 服务器中，以实现零碎之间的平安连贯。该连贯由申请连贯到 SSH 服务器的客户端建设。SSH 客户端启动连贯建设过程，并应用公共密钥加密技术来验证 SSH 服务器的身份。在设置阶段之后，SSH 协定应用弱小的对称加密和哈希算法来确保客户端和服务器之间替换数据的私密性和完整性。
下图是依据 NIST IR 7966 改编而成的，它简化了 SSH 连贯的流程：
- 客户端启动与 SSH 服务器的连贯
- 服务器将其公钥发送给客户端
- 服务器的公钥保留在客户端的已知主机文件中
- 客户端与服务器协商连贯参数并建设连贯
客户端（用户）身份验证
SSH 协定应用传统明码或公共密钥来启用客户端身份验证。然而，鉴于应用明码的危险和效率低下，公钥身份验证被更宽泛地应用。SSH 密钥不仅比明码更弱小，而且系统管理员还能够绕过基于明码的手动登录。
用户如何应用 SSH 密钥进行身份验证呢？它们能够应用 ssh-keygen 命令与 SSH 客户端（例如 OpenSSH）生成一个公私钥对。创立后，用户将其受权密钥（公共密钥）放入须要连贯的服务器上的 authorized_keys 文件中。
当用户应用基于密钥的身份验证近程登录时，OpenSSH 服务器将查找受权密钥，而后用户应用其对应的私钥向服务器进行身份验证。因为不须要手动身份验证，因而通常应用基于密钥的身份验证用于 IT 流程的自动化，例如平安的文件传输，备份和复制流程或配置管理工具（例如 Ansible，Terraform，Chef 或 Puppet）。
SSH 协定的常见用例
SSH 连贯次要用于爱护本地计算机和近程主机之间不同类型的通信，包含：
- 平安近程拜访资源
- 近程执行命令
- 交付软件补丁和更新
- 交互式和主动文件传输
除了在本地计算机和近程计算机之间创立平安通道外，SSH 协定还用于治理重要的公司根底构造，例如路由器，服务器硬件，虚拟化平台和操作系统等。
SSH 密钥用于主动拜访服务器，通常用于脚本，备份零碎和配置管理工具中。因为其设计容许跨组织边界的连贯，并且 SSH 密钥提供了单点登录（SSO）性能，使用户无需每次输出明码即可在各个帐户之间挪动。
最初，插播段小广告：又拍云的“一键登录”性能，和 SSH 密钥登录相似，用户仅须要容许服务商利用获取本机手机号码，并通过运营商网络上传，即可实现用户身份校验。不须要频繁的输出明码和手机验证码，很大水平上升高了注册、登录环节的用户散失。
举荐浏览
技术选型：为什么批处理咱们却抉择了 Flink
有赞对立接入层架构演进