[Web] 网络安全(SSH SSL HTTPS)
概念
- SSH(Secure Shell)
- 一种安全通信协议
- 为shell提供加密通信服务
- 使用了非对称加密和对称加密
- 对称加密(Symmetric-Key Encryption):只用一个密钥来进行加密和解密
- 非对称加密(Asymmetric-Key Encryption):用一个密钥来进行加密(公钥),用另一个密钥来解密(私钥)
- 用于远程登录会话和其他网络服务
- SSH=SSL+用户登录功能等应用层协议
- 只有SSH客户端,和SSH服务器端之间的通信才能使用SSH协议,其他软件服务无法使用
- 传统网络通信服务(FTP、Telnet)采用明文传输很不安全
- 位于传输层和应用层
- 过程
- A、B之间建立TCP连接
- B生成一对公私密钥
- B把公钥发送给A
- A生成一个用于加密数据的密钥K
- A把K用公钥加密发给B,B解密(非对称加密)
- A、B之间的通信数据都用K进行加密和解密(对称加密)
- 中间人攻击
- 黑客H埋伏在A、B之间的某个路由器上
- 假冒B生成一对公私密钥,把密钥发送给A
- H假冒B与A进行通信
- SSH通过判断公钥的fingerprint(如本机MAC地址)是否可信来防止
- 公钥登录(免密码登录)
- 客户端将自己的公钥储存在远程服务器上
- 客户端登录时,服务器发送一个经过公钥加密的随机数据给客户端
- 客户端用私钥解密信息,并发还给服务器
- 服务器验证正确后,即确认客户端是可信任的,从而建立起一条安全的信息通道,允许客户端不用输入密码直接登录 Shell
- SSL(Secure Socket Layer 安全套接字层)
- 一种安全通信协议
- 位于传输层和应用层之间(比SSH范围小)
- 为互联网上的所有客户端与服务器连接提供加密通信服务(比SSH范围广)
- 常用的加密算法是RSA
- 基本思想是先用公钥加密法,得到对话密钥,再用对称加密通信
- 公钥加密法(非对称加密)
- 客户端先向服务器端索要公钥,然后用公钥加密信息
- 服务器收到密文后,用自己的私钥解密
- 传统非对称加密的问题
- 如何保证公钥不被篡改
- 将公钥放在数字证书中
- 如何减少公钥加密的计算量
- 每次对话(session),客户端和服务端都生成一个对话密钥(session key)
- 服务器公钥只用于加密对话密钥
- 如何保证公钥不被篡改
- 数字签名(Digital Signature)
- 指出一个文件的所有者或创作者
- 用Hash函数生成信件摘要,再使用私钥对摘要加密,生成数字签名
- 公钥认证:证实一个公钥属于某个特定实体
- 数字证书(Digital Certification)
- 用于证实一个实体的真实身份
- 将一个将实体身份标识信息(如IP,数字签名等)和实体公钥绑定起来
- CA(Certification Authority 数字证书认证机构)
- CA用自己的私钥,对实体的公钥和相关信息进行加密,生成数字证书
- 收到实体信息的人,用CA的公钥解开数字证书,拿到实体的公钥
- 使用过程
- 服务端用Hash函数生成信件摘要,再使用私钥对摘要加密,生成数字签名
- 服务端将数字签名和数字证书一起附在信件中发给客户端
- 客户端收到信件后,取下数字签名,用公钥解密得到摘要(公钥认证)
- 客户端对信件本身使用Hash函数,将得到的结果与上一步一样(未篡改)
- 客户端用CA的公钥解开证书,拿到服务端的公钥(未冒充)
- 通信过程
- 客户端向服务端索要并验证公钥
- 双方协商生成对话密钥
- 客户端发出请求:一个随机数
- 服务端回应:一个随机数;服务器证书
- 客户端回应:一个随机数(用服务端公钥加密);握手结束通知
- 服务端回应:用三个随机数生成session key;握手结束通知
- 双方采用对话密钥进行加密通信
- RSA
- 一种非对称加密算法
- 原理:对两个大质数乘积进行分解十分困难
- HTTPS(Hypertext Transfer Protocol Secure)
- SSL+HTTP
- HTTP通信的风险
- 窃听:第三方可以获知通信内容
- 篡改:第三方可以修改通信内容
- 冒充:第三方可以冒充他人身份参与通信
- SSL协议
- 所有信息都是加密传播,第三方无法窃听
- 提供数字签名,一旦被篡改,通信双方会立刻发现
- 配备数字证书,防止身份被冒充
- 为网站申请数字证书
- 为服务器生成一对公私密钥
- 把你网站的信息连同你的公钥一起发送给某个权威的CA
- CA通过某种方式认证申请人是否是网站的所有人(比如让你在网站的指定路径上传他指定的特殊文字序列)
- 验证通过得到证书
参考
SSH和SSL的区别—基于原理和协议
http://news.west.cn/52031.html
SSH、SSL与HTTPS
https://blog.csdn.net/m0_37402140/article/details/78568583
数字签名是什么?
http://www.ruanyifeng.com/blog/2011/08/what_is_a_digital_signature.html
Linux ssh命令详解
https://www.cnblogs.com/ftl1012/p/ssh.html
SSL和SSH有什么区别(写得有点乱)
https://blog.csdn.net/box_kun/article/details/79209031
OpenSSH下载
https://www.mls-software.com/opensshd.html
Linux使用ssh公钥实现免密码登录另外一台Linux