ssh详细登录过程

原文: http://blog.csdn.net/gsnumen/article/details/7293266

ssh详细登录过程

 

首先说下相关概念:

明文:需要秘密传送的消息。
密文:明文经过密码变换后的消息。
加密:由明文到密文的变换。
解密:从密文恢复出明文的过程。
破解:非法接收者试图从密文分析出明文的过程。
加密算法:对明文进行加密时采用的一组规则。
解密算法:对密文进行解密时采用的一组规则。
密钥:加密和解密时使用的一组密码信息。
对称加密:是采用单钥密码系统的加密方法,使用同一密钥对信息进行加密和解密的加密方法。
非对称加密:需要两个密钥:公共密钥和私有密钥,它们成对出现,公钥加密的数据有且只有私钥能解密,私钥加密的数据有且只有公钥解密,相对于“对称加密”,“非对称加密”加密方法加密和解密使用不同的密钥,所以叫“非对称加密”加密方法。
对称加密和非对称加密的区别:在于加密和解密是否使用的同一个密钥。
 
加密、身份认证、数字签名认证:
     加密:将数据资料加密,使得非法用户即便获取加密后的资料,也无法获取正确的资料内容,所以数据加密可以保证数据防止监听攻击;其重点在于数据的安全性。
    身份认证:判断某身份的真实性,确认身份后,系统才可以依不同的身份赋予不同的权限;其重点在于用户的真实性。
    数字签名认证:首先"数字签名"就是附加在数据单元上的一些数据,或是对数据单元所作的密码变换。这种数据或变换允许接收者判断数据的来源和数据的完整性,防止被伪造篡改。数字签名认证侧重于把保证数据的完整性,防止被伪造和篡改。
 ssh详细登录过程
ssh详细登录过程
 

认证原理: 

有2种认证方式:

    基于账号和口令的验证方式 和 基于公钥和私钥的验证方式

ssh的登录过程分为5个阶段

    1、版本号协商阶段
    2、密钥和算法协商阶段
    3、认证阶段
    4、会话请求阶段
    5、会话交互阶段

1、版本号协商阶段

    服务端打开端口22,等待客户连接。
    客户端向服务端发起TCP连接,连接建立后,服务端向客户端发送第一个报文,包括版本标志字符串,格式为“协议版本号 次协议版本号 软件版本号”。
    客户端收到报文后,解析协议版本号,如果服务端的协议版本号比自己的低,且客户端能支持服务端的低版本,就使用服务端的协议号,否则使用自己的协议版本号。
    客户端回复服务端一个报文,包含了客户端决定使用的协议版本号。
    服务端比较客户端发过来的版本号,决定是否能同客户端交互。
    如果协商成功,就进入密钥和算法协商阶段。否则服务端断开TCP连接。
 

2、密钥和算法协商阶段

    服务端和客户端分别发送算法协商报文给对方,报文中包含自己支持的公钥算法列表、加密算法列表、消息验证码算法列表、压缩算法列表等。
    服务端和客户端根据对方和自己支持的算法得出最终使用的算法。
    服务端和客户端利用DH交换算法、主机密钥对等参数,生成会话密钥和会话ID。
        c公 客户端公钥
        c密 客户端密钥
        s公 服务端公钥
        s密 服务端密钥
在版本号协商阶段完成后:
    服务端将 s公 发送给客户端。
    服务端生成会话ID ,设为 id ,发送给客户端。
    客户端生成会话密钥,设为 key ,并计算 res = id 异或 key。
    客户端将 res 用 s公 进行加密,将结果发送给服务端。
    服务端用 s密 进行解密,得到 res。
    服务器计算 res 异或 id,得到 key。
    至此服务端和客户端都知道了会话密钥和会话ID,以后的数据传输都使用会话密钥进行加密和解密。
 

3、认证阶段

基于账号和口令的验证方式:
    客户端使用密钥和算法协商阶段生成的会话密钥加密账号、认证方法、口令,将结果发送给服务器。
    服务端使用获得的会话密钥解密报文,得到账号和口令。
    服务端对这个账号和口令进行判断,如果失败,向客户端发送认证失败报文,其中包含了可以再次认证的方法列表。
    客户端从认证方法列表中选择一种方法进行再次认证。
    这个过程反复进行,直到认证成功或者认证次数达到上限,服务端关闭本次TCP连接。
基于公钥和私钥的验证方式:
    使用ssh-keygen程序生成公钥 id_dsa.pub 和私钥 id_dsa,一般是在客户端上生成,然后把 id_dsa.pub 通过某种方式发送给服务端。
    服务端放在将要远程登录过来的那个账号的目录的.ssh目录下面。
    客户端使用密钥和算法协商阶段生成的会话密钥加密账号、认证方法、id_dsa.pub,将结果发送给服务端。
    服务端使用会话密钥解密报文,得到账号、id_dsa.pub。    服务端在这个账号的目录的.ssh目录下找对应的公钥,如果没有找到,发送失败消息给客户端,如果找到,比较客户发送过来的这个公钥和找到的公钥,如果内容相同,服务端生成一个随机的字符串,简称“质询”,然后使用找到的公钥加密这个质询,然后使用会话密钥再次加密。
    服务端把这个双重加密的数据发送给客户端。
    客户端使用会话密钥解密报文,然后使用id_dsa再次解密数据,得到质询。
    客户端使用会话密钥加密质询,发送给服务端。
    服务端使用会话密钥解密报文,得到质询,判断是不是自己生成的那个质询,如果不相同,发送失败消息给客户端,如果相同,认证通过。
 

参考:

 
 
 
 
 
------------- end -------------
From: GS
-------------------------------

相关推荐