?。桑睿簦澹颍睿澹羰钱斀駨V泛使用的計算機網絡，ＴＣＰ／ＩＰ協議則是Ｉｎｔｅｒｎｅｔ采用的網絡通信協議。由于ＴＣＰ／ＩＰ協議本身缺乏可靠的安全機制以及Ｉｎｔｅｒｎｅｔ的開放性，其安全性就顯得更加脆弱。目前有多種網絡安全的解決方案，分別實現在ＴＣＰ／ＩＰ協議棧的不同層次上：在物理層上使用機械或電器方法防止信息被非法竊取，如電磁泄漏保護；在數據鏈路層上使用硬件加密設備直接加／解密鏈路兩端的數據或采用用于組建遠程訪問ＶＰＮ的安全協議ＰＰＴＰ和Ｌ２ＴＰ創(chuàng)建安全通道；在網絡層上通過基于ＩＰＳｅｃ規(guī)范的安全協議實現各種方式的ＶＰＮ；在傳輸層使用ＳＳＬ，ＴＬＳ等安全協議提供端對端的安全通訊；在應用層則可以實現對某些特殊服務進行單獨保護，如Ｓ－ＨＴＴＰ等。在眾多的網絡安全解決方案中，當然可以采用ＶＰＮ和防火墻來保護自己的信息安全。然而，除了這些措施以外，很多公司實際上遺漏了一種不起眼但卻很健壯有效的解決方案－－－（ＳＳＨ（Ｓｅｃｕｒｅ?。樱瑁澹欤欤?。

　　１?。樱樱葏f議

　?。保薄。樱樱葏f議介紹

　?。樱樱龋矗樱澹悖酰颍濉。樱瑁澹欤欤且环N介于傳輸層和應用層之間的加密隧道協議，具有Ｃ／Ｓ的體系結構。ＳＳＨ可以在本地主機和遠程服務器之間設置“加密隧道”，并且這樣設置的“加密隧道”可以跟常見的ＦＴＰ，ＳＭＴＰ，ＰＯＰ應用程序，Ｘ應用程序相結和。目的是要在非安全的網絡上提供安全的遠程登陸和相應的網絡安全服務。既然ＳＳＨ是以提供安全服務為目標的協議，其中必不可少的是一套完備的密匙機制。由于ＳＳＨ協議是面向互聯網中主機之間的互訪　與信息交換，所以主機密匙成為基本的密匙機制。即ＳＳＨ要求每一個使用本協議的主機都必須至少有一個自己的主機密匙對，服務器方通過對客戶方主機密匙的之后，才允許其連接請求。一個主機可以使用多個密匙，針對不同的密匙算法而擁有不同的密匙。

　　ＳＳＨ在運行方式上，不像其他ＴＣＰ／ＩＰ應用，被設計為工作于自己的基礎之上，而不是利用包裝（Ｗｒａｐｐｅｒｓ）或通過Ｉｎｔｅｒｎｅｔ守護進程ｉｎｅｔｄ運行。

　?。保病。樱樱葏f議工作機制

　　根據ＩＥＴＦ關于ＳＳＨ草案的定義，ＳＳＨ協議包含３個組成部分（層次）。

　?。ǎ保﹤鬏攲訁f議（ＳＳＨ－ＴＲＡＮＳ）

　?。樱樱鹊膫鬏攲訁f議負責進行服務器，數據加密和完整性保護，并可以提供數據壓縮的功能。ＳＳＨ傳輸層協議是建立在提供“底層”可靠的ＴＣＰ連接之上的，當然，也可以用在其他可靠的數據流協議中。傳輸層的是基于主機的（并非面向用戶的），目的就在于為真正的上層應用提供安全保證。當ＳＳＨ用在ＴＣＰ／ＩＰ協議上時，ＳＳＨ服務器一端一般會監(jiān)聽ＴＣＰ２２端口，一旦客戶端和服務器端的ＴＣＰ連接建立起來，ＳＳＨ傳輸層協議就開始發(fā)揮作用了。在這個階段，客戶端和服務器要約定使用的ＳＳＨ協議版本，要協商選定雙方都支持的算法、加密算法、哈希算法和數據壓縮算法。協商好算法和密匙交換方法后，服務器端會向客戶端發(fā)送自己的主機密匙（ＨｏｓｔＫｅｙ），即服務器的公匙（ＰｕｂｌｉｃＫｅｙ），以驗證服務器的身份。雙方還要依據協商好的加密算法生成性加密密匙，用于對整個商變更加密密匙。此外，傳輸層協議需要生成一個會話ＩＤ（Ｓｅｓｓｉｏｎ　Ｉｄｅｎｔｉｆｉｅｒ），用于惟一標識本次會話連接。等所有這些過程結束后，客戶端就可以向服務器發(fā)送服務請求了，服務器接受２類請求：用戶服務（ＳＳＨ－ＵＳＥＲＡＵＴＨ）和連接服務（ＳＳＨ－ＣＯＭＭＥＣＴＩＯＮ）。

　?。樱樱戎С值墓姿惴ㄓ校模樱梁停遥樱粒С值膶ΨQ密匙算法包括ＤＥＳ，３ＤＥＳ，Ｂｌｏｗｆｉｓｈ，Ｔｗｏｆｉｓｈ，ＩＤＥＡ，ＡＲＣＦＯＵＲ和ＣＡＳＴ－１２８，支持的哈希算法有ＳＨＡ－１，ＭＤ５等，支持Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ密匙交換方法。

　　（２）用戶協議（ＳＳＨ－ＵＸＥＲＡＵＴＨ）

　　用戶協議是建立在傳輸層協議之上的，當用戶進行時，假定底層（傳輸層）協議已經提供了數據完整性和機密性保護。用戶協議接受傳輸層協議確定的會話ＩＤ，作為本次會話過程的惟一標識。服務器首先會發(fā)起用戶，他他會告訴客戶端服務器所支持的方式，客戶端可以從中選擇。一旦用戶成功，根據客戶端的請求，服務器將會啟動相應的服務（在連接協議建立的邏輯通道中進行數據傳輸）。ＳＳＨ支持的用戶方法包括：公匙方法、口令方法、基于主機的和ＰＡＭ等。

　?。ǎ常┻B接協議（ＳＳＨ－ＣＯＮＮＥＣＴ）

　　連接協議可以提供交互的Ｓｈｅｌｌ會話，支持遠程命令執(zhí)行，提供ＴＣＰ端口以及Ｘ１１連接轉發(fā)功能。通過將惟一一個加密隧道（ｔｕｎｎｅｌ）多路復用成若干個邏輯通道，提供給更高層的應用協議使用。邏輯通道是由兩端的通道號來惟一標識的。要啟動某個應用服務，首先要建立一個新的邏輯通道，這期間，先要分配兩端的通道號，協商緩存窗口的大小，然后是建立正式的會話，啟動應用程序。各種高層應用協議可以相對獨立于ＳＳＨ基本體系之外，并依靠這個基本框架，通過連接協議使用ＳＳＨ的安全機制。

　　１．３　算法

　　以ＳＳＨ協議２．０為例，其常用公匙算法ＲＳＡ或ＤＳＡ進行身份，用對稱密匙算法３ＤＥＳ進行傳輸數據加密，　用Ｄｉｆｆｉｅ－Ｈｅｌｌｍａｎ密匙協議算法交換密匙，用散列函數ＳＨＡ－１或ＭＤ５進行完整性檢測，用ｚｌｉｂ進行數據壓縮。

　　２　具體應用及安全模型

　　具體應用時，ＳＳＨ可以提供３類服務：

　?。玻薄“踩h程登錄和安全遠程命令執(zhí)行：替代傳統(tǒng)的ｔｅｌｎｅｔ和ｒｌｏｇｉｎ，ｒｓｈ命令

　　網絡遭受攻擊，很多情況是由于服務器提供了Ｔｅｌｎｅｔ服務引起的。對于ＵＮＩＸ系統(tǒng)，如果要遠程管理他，必定要使用遠程終端，而要使用遠程終端，自然要在服務器上啟動Ｔｅｌｎｅｔ服務。但是Ｔｅｌｎｅｔ服務有一個致命的弱點他以明文的方式傳輸用戶名及口令，所以，很容易被第三者竊取口令。一種有效代替Ｔｅｌｎｅｔ服務的工具就是ＳＳＨ。用戶要登錄到遠程計算機用戶賬號中，可以使用命令：

　?。＃螅螅琛。酰螅澹颍睿幔恚澹溃颍澹恚铮簦澹悖铮恚穑酰簦澹?/FONT>