SH与OpenSSH


传统的网络服务程序,如:ftp、pop和telnet在本质上都是不安全的,因为它们在网 络上用明文传送口令和数据,别有用心的人非常容易就可以截获这些口令和数据。而且,这些服务程序的安全验证方式也是有其弱点的,就是很容易受到“中间人” (man-in-the-middle)这种方式的攻击。所谓“中间人”的攻击方式,就是“中间人”冒充真正的服务器接收你的传给服务器的数据,然后再冒 充你把数据传给真正的服务器。服务器和你之间的数据传送被“中间人”一转手做了手脚之后,就会出现很严重的问题。


SSH的英文全 称是Secure SHell。通过使用SSH,你可以把所有传输的数据进行加密,这样“中间人”这种攻击方式就不可能实现了,而且也能够防止DNS和IP欺骗。还有一个额 外的好处就是传输的数据是经过压缩的,所以可以加快传输的速度。SSH有很多功能,它既可以代替telnet,又可以为ftp、pop、甚至ppp提供一 个安全的“通道”。


最初SSH是由芬兰的一家公司开发的。但是因为受版权和加密算法的限制,现在很多人都转而使用OpenSSH。OpenSSH是SSH的替代软件,而且是免费的,可以预计将来会有越来越多的人使用它而不是SSH。


SSH是由客户端和服务端的软件组成的,有两个不兼容的版本分别是:1.x和2.x。用SSH 2.x的客户程序是不能连接到SSH 1.x的服务程序上去的。OpenSSH 2.x同时支持SSH 1.x和2.x。


SSH的安全验证是如何工作的


从客户端来看,SSH提供两种级别的安全验证。


第一种级别(基于口令的安全验证)只要你知道自己帐号和口令,就可以登录到远程主机。所有传输的数据都会被加密,但是不能保证你正在连接的服务器就是你想连接的服务器。可能会有别的服务器在冒充真正的服务器,也就是受到“中间人”这种方式的攻击。


第二种级别(基于密匙的安全验证)需要依靠密匙,也就是你必须为自己创建一对密匙,并把公用密匙放在需要访问的服务器上。如果你要连接到SSH服务器 上,客户端软件就会向服务器发出请求,请求用你的密匙进行安全验证。服务器收到请求之后,先在你在该服务器的家目录下寻找你的公用密匙,然后把它和你发送 过来的公用密匙进行比较。如果两个密匙一致,服务器就用公用密匙加密“质询”(challenge)并把它发送给客户端软件。客户端软件收到“质询”之后 就可以用你的私人密匙解密再把它发送给服务器。


用这种方式,你必须知道自己密匙的口令。但是,与第一种级别相比,第二种级别不需要在网络上传送口令。


第二种级别不仅加密所有传送的数据,而且“中间人”这种攻击方式也是不可能的(因为他没有你的私人密匙)。但是整个登录的过程可能需要10秒。


Windows下的OpenSSH解决方案


可以看到,SSH具备很多优势,因此很多现代Linux服务器基于安全考虑已经不再开放传统的telnet和ftp服务,而是采用更安全SSH


和sftp。随Linux越来越多的进入服务器领域,这种情况也越来越常见。从安全角度上来看这当然是个进步,不过也带来了新的问题。因为目前用来提供 SSH相关服务的OpenSSH主要在Linux环境开发的,为了让采用windows平台的客户机与Linux服务器上的OpenSSH服务器通信,我 们有必要寻找一个OpenSSH的windows解决方案。当然,基于SSH的众多安全特性,让windows服务器可以运行SSH相关服务也是个诱人的 想法。为此,寻找windows平台下的SSH解决方案成为很多网管的目标。


这里,首先纳入考虑的还是OpenSSH的for windows版本。毕竟,OpenSSH几乎是现在SSH实现的代名词,与现有各种SSH服务器和客户端的兼容性非常良好。我曾经遇到过其它一些支持 SSH的客户端工具生成的密匙无法被SSH服务器识别的情况,在我更换了OpenSSH的密匙生成工具重新生成密匙后解决了问题。在本文中,我们将主要介 绍windows平台的OpenSSH工具的使用。OpenSSH for windows实际上是Cygwin系列安装包中的OpenSSH安装包,它在无需安装整个Cygwin安装包的情况下安装OpenSSH所需的最小工具 集。


小知识:什么是Cygwin


Cygwin是Windows下的一个Linux仿真环 境,它包括两部分,一是cygwin1.dll文件,它作为一个Linux API仿真器层为各Linux应用程序提供各种Linux下的系统调用。另一部分包括一系列Linux下的常用工具包,这些工具包是用l这些工具的源码针 对Cygwin环境重庆编译而成,本文介绍的OpenSSH for windows就是这些工具包中的一个。需要注意的是Cygwin并不能让原生Linux程序在windows下直接运行,如果你想让一个Linux应用 程序在windows下运行,你将不行不将应用程序从源代码重新编译。


不过OpenSSH for windows是一个命令行的工具,而且目前与windows 2003的兼容性还不是很好。其它还有一些windows平台的OpenSSH替代品,下面我主要介绍几种免费的产品。


PuTTY是这些产品中最有名的一种,它实际包含了多个工具分别用来完成SSH的各个功能,包括了SSH1和SSH2的客户端和服务器端实现。它采用类似类似BSD的MIT软件许可证。它也主要是一个基于命令行的工具。


WinSCP是一个Windows环境下使用SSH的开源图形化SFTP客户端。同时支持SCP协议。它的主要功能就是在本地与远程计算机间安全的复制 文件。它的最大特点是界面非常友好,使用时可以选择windows资源管理器界面或者“Norton Commander”界面,而且已经有中文版本。可惜,在我的windows XP机器上,安装始终报错。


Secure iXplorer GPL是PuTTY'工具包中pscp.exe(用于安全复制文件)的一个图形化前端。


FileZilla是一款windows平台下的功能强大的FTP客户端软件,它有丰富的功能特性,并支持SFTP。