a、版本号协商阶段
服务器端启动ssh服务，并打开22号端口（也可以配置为其它端口），等待客户端链接。客户端向服务器端发起TCP连接。连接建立后，服务器端和客户端开始商议欲使用的协议版本号。如果协商成功，进入密钥和算法协商阶段，否则，断开TCP连接。
b、密钥和算法协商阶段
服务器端和客户端分别向对方发送算法协商报文，其中包括了自己支持的非对称加密算法列表、加密算法列表、消息验证码算法列表、压缩算法列表等。服务器端和客户端根据双方支持的算法得出最终使用的算法（如非对称加密算法是采用RSA，还是DSA）。协商完成后，服务器端将自己的公钥发送给客户端，客户端根据公钥指纹决定是否信任此主机。选择信任此主机后，客户端使用服务器端的公钥将自己生成的会话密钥加密，发送给服务器端。以后的会话内容和口令都通过此会话密钥加密发送。通常，每过一个小时，服务器端和客户端会重新商定会话密钥，以防止会话密钥被暴力破解。
c、认证阶段
基于口令的认证：
客户端采用在算法协商阶段产生的会话密钥加密帐号、认证方法、口令，并将其传送给服务器端。服务器端收到后将其解密后，基于本地账户密码对其判断是否正确。如果正确，成功建立登录连接，否则，向客户端返回认证失败报文，其中包含了可再次认证的方法列表。当登录请求次数达到可允许的尝试上限次数后，服务器端断开本次TCP连接，并限制此帐号连接请求。
基于密钥的认证：
客户端使用ssh-keygen工具在本地家目录的ssh/目录下生成一对密钥（如：公钥id_rsapub、私钥id_rsa）。并将公钥追加保存到将要登录的服务器上的那个帐号家目录的ssh/authorized_keys文件中。客户端使用算法协商阶段生成的会话密钥加密帐号、认证方法、公钥，并将其传送给服务器端。服务器端收到后将解密后的公钥与本地该帐号家目录下的authorized_keys中的公钥进行对比。如果内容不相同，认证失败，否则服务器端生成一段随机字符串，并先后用客户端公钥和会话密钥对其加密，发送给客户端。客户端收到后将解密后的随记字符串用会话密钥加密发送给服务器端。如果发回的字符串与服务器端起先生成的一样，则认证通过，否则，认证失败。
openssh便是SSH的一个开源实现。本文后续部分将简要介绍如何用openssh基于口令和密钥的远程登录。
示例：
# ssh root@17229166218
如果是第一次登录远端主机，系统会出现以下提示：
因为协议本身无法确认远端服务器的真实性，用户自行根据提供的经SHA256算法提取的公钥指纹判断其真实性。如果确认为真，则输入帐号密码以登录服务器端。
a、首先在客户端生成一对密钥
示例：
b、将客户端公钥保存到服务器端
示例：
另外，可以不使用ssh-copy-id命令，改用以下命令，可以更好的理解公钥的保存过程：
c、登录验证
如果仍然无法无口令登录，请检查sshd配置文件/etc/ssh/sshd_config，并将以下几行前面的注释符号取消。
SSH详解-1ssh基础知识
SSH详解-2ssh基本用法
SSH详解-3密钥登陆
SSH详解-4多个ssh公钥
在上一篇中我们了解到了ssh基本用法，ssh通过密码进行登录。密码登录存在很多问题。密码太简单，又不安全。密码太复杂，不容易记，而且每次登录都要输入很麻烦。于是就有了密钥登陆。
什么是密钥(key)？
ssh密钥登录采用的是 非对称加密 。
非对称密钥加密系统，又称公钥密钥加密。它需要使用不同的密钥来分别完成加密和解密 *** 作，一个公开发布，即公开密钥（public key）和，另一个由用户自己秘密保存，即私用密钥（private key）。
如果数据使用公钥加密，那么只有使用对应的私钥才能解密，其他密钥都不行；反过来，如果使用私钥加密（这个过程一般称为“签名”），也只有使用对应的公钥解密。
了解完密钥后，接下来看看密钥登录的过程，SSH 密钥登录分为以下的步骤。
第零步，准备步骤客户端通过 ssh-keygen 生成自己的公钥和私钥，并将公钥放入远程服务器的指定位置。
第一步，用户客户端向服务器发起SSH登录的请求。
第二步，服务器收到用户SSH登录的请求，服务器生成一些随机数据发送给客户端。
第三步，客户端接收到服务器发过来的数据，客户端使用私钥对数据进行签名后再返回给服务器。
第四步，服务器收到客户端加密后的数据，使用对应公钥进行解密。然后判断解密后的数据是否与原始数据一致，如果一致就允许用户登录。
ssh-keygen 是OpenSSH提供的一个命令行工具，用于生成密钥登录所需的公钥和私钥。
在上面的例子中，我使用了-t参数来指定加密算法，一遍会选择rsa或者dsa。
第一个问题，问我要保存在哪？（直接Enter默认会保存在~/ssh/id_rsa中）因为我之前已经生成过密钥了，我就保存在tenxun里面。
第二个问题，询问是否要为私钥文件设定密码保护（passphrase）。这样的话，即使入侵者拿到私钥，还是需要破解密码。如果为了方便，不想设定密码保护，可以直接按回车键，密码就会为空。
最后，就会生成私钥和公钥，屏幕上还会给出公钥的指纹，以及当前的用户名和主机名作为注释，用来识别密钥的来源。
从上面的公钥中我们可以看到末尾的公钥注释 23696@DESKTOP-GKRBCVI
公钥注释可以用来识别不同的公钥，表示这是哪台主机（DESKTOP-GKRBCVI）的哪个用户（username）的公钥。
注意 ，公钥只有一行。因为它太长了，显示的时候可能自动换行了。
OpenSSH 规定，用户公钥保存在服务器的 ~/ssh/authorized_keys 文件。你要以哪个用户的身份登录到服务器，密钥就必须保存在该用户主目录的~/ssh/authorized_keys文件。只要把公钥添加到这个文件之中，就相当于公钥上传到服务器了。每个公钥占据一行。如果该文件不存在，可以手动创建。
-i 指定要上传公钥（公钥文件可以不指定路径和 pub 后缀名），user是所要登录的用户名，hostname是主机名，这两个参数与ssh 登录命令是一致。
特别注意 ，不是把公钥上传上去就行了，还需要把 authorized_keys 文件的权限要设为644，即只有文件所有者才能写。如果权限设置不对，SSH服务器可能会拒绝读取该文件，导致密钥登录失效，登录的时候还需要输入密码。
提到输入密码，如果再生成公钥和私钥的时候设置了密码，使用密钥登录的时候也需要输入私钥的密码，这样可以防止他人非法窃取了私钥。
私钥设置了密码以后，每次使用都必须输入私钥密码，这个问题可以使用 ssh-agent 命令解决。
百度百科-密钥
Git - 生成 SSH 公钥 (git-scmcom)
ssh(1) - OpenBSD manual pages
2如果您的计算机未连接到域，您的BitLocker恢复密钥可能会保存在多个位置。以下是一些需要检查的地方:
①您的Microsoft在线帐户。此选项仅在未加入域的计算机上可用。若要获取恢复密钥，请转到BitLocker恢复密钥。
②保存的恢复密钥的副本。您可能已将BitLocker恢复密钥的副本保存到文件、USB驱动器或打印输出中。
③如果您已将密钥保存到文件或打印出来，请找到一份副本，按照锁定的计算机上的说明 *** 作，并在出现提示时输入您的密钥。
④如果您已将密钥保存到USB驱动器，请将其插入USB驱动器，并按照本电脑上的说明进行 *** 作。(如果您已将恢复密钥作为文件保存在u盘中，则需要打开该文件并手动输入恢复密钥。首先在服务器上制作密钥对
密钥锁码在使用私钥时必须输入，这样就可以保护私钥不被盗用。当然，也可以留空，实现无密码登录。
现在，在 root 用户的家目录中生成了一个 ssh 的隐藏目录，内含两个密钥文件。id_rsa 为私钥，id_rsapub 为公钥。
键入以下命令，在服务器上安装公钥：
如此便完成了公钥的安装。为了确保连接成功，请保证以下文件权限正确：
编辑 /etc/ssh/sshd_config 文件，进行如下设置：
最后，重启 SSH 服务：
将打印出的结果保存成id_rsa文件，供ssh客户端登陆使用
可以上传私钥进行云保护或采取本地自行保存。
解释原因：
SSL证书智能系统里面都会保存给个证书的公共证书。私钥通常用户为确保安全，自行保存到本地计算机。
如果怕SSL证书私钥丢失，可以将私钥上传到系统管理。
解决办法：根据自身情况选择保存私钥。
欢迎分享，转载请注明来源：内存溢出
微信扫一扫
支付宝扫一扫
评论列表（0条）