介紹

SSH 是創建在應用層和傳輸層基礎上的安全協議，為計算機上的 Shell（殼層）提供安全的傳輸和使用環境。

SSH 只是協議，有多種實現方式，本文基于其開源實現 OpenSSH

遠程登錄

SSH主要用于遠程登錄：

$ ssh user@host

當本地用戶名和遠程用戶名一致時，可省略用戶名：

$ ssh host

SSH 協議默認端口是22，指定端口可使用 -p 參數

$ ssh -p 2222 user@host

MITM

SSH 采用公鑰加密的方式來保證傳輸安全。過程如下：

However！

密碼登錄

第一次登錄遠程主機，會有如下提示：

$ ssh 10.0.0.12The authenticity of host '10.0.0.12 (10.0.0.12)' can't be established.RSA key fingerprint is 3a:45:30:52:b5:ea:2a:55:e7:23:41:ef:16:76:0b:8d.Are you sure you want to continue connecting (yes/no)?

意思是：無法確認遠程主機真實性，指知道它的公鑰指紋，是否繼續連接？

公鑰指紋(fingerprint)：公鑰采用RSA算法，長度較長難以比對，所以對其進行MD5計算，得到128位的指紋，即上例中的3a:45:30:52:b5:ea:2a:55:e7:23:41:ef:16:76:0b:8d

其實并沒有什么有效便捷的方式確認公鑰指紋的真實性，確認接受遠程主機公鑰：

Are you sure you want to continue connecting (yes/no)? yes

系統提示遠程主機已加入到受信主機列表：

Warning: Permanently added '10.0.0.12' (RSA) to the list of known hosts.

然后提示輸入密碼：

root@10.0.0.11's password:

輸入密碼正確，就可以正常登陸了。

當遠程主機的公鑰被接受以后，它就會被保存在文件$HOME/.ssh/known_hosts之中。下次再連接這臺主機，系統會發現它的公鑰已經保存在本地了，從而跳過警告部分，直接提示輸入密碼。

公鑰登陸

除了密碼登錄，SSH 還支持公鑰登錄。

“公鑰登錄”原理是：用戶將自己的公鑰儲存在遠程主機上。登錄的時候，遠程主機會向用戶發送一段隨機字符串，用戶用自己的私鑰加密后，再發回來。遠程主機用事先儲存的公鑰進行解密，如果成功，就證明用戶是可信的，直接允許登錄shell，不再要求輸入密碼。

公鑰登錄需要用戶提供自己的公鑰，一般保存在 $HOME/.ssh/ 目錄下，id_rsa是私鑰，id_rsa.pub是公鑰。如果沒有可以通過ssh-keygen生成。

$ ls -1 ~/.sshid_rsaid_rsa.pubknown_hosts

需要把公鑰發送到遠程主機：

# ssh-copy-id [-i [identity_file]] [user@]machine$ ssh-copy-id root@10.0.0.12

此后再登錄就不需要輸入密碼了。

如果還是無法使用公鑰登錄，可以檢查一下遠程主機SSH配置/etc/ssh/sshd_config，打開如下注釋并重啟SSH服務[我發現CentOS release 6.8 (Final)默認SSH配置中注釋掉以下內容也是可以使用公鑰登錄的]：