【2015.08.25】Linux安全--ssh

目的：使用 ssh 的公钥密钥实现自动登陆
第一步：生成 ssh 公钥密钥对
现在的 linux 服务器默认都安装 openssh 的软件。
生成公钥密钥对是在管理服务器上生成的：
[root@server ~]# ssh-keygen -b 1024 -t rsa
Generating public/private rsa key pair.             #提示正在生成rsa密钥对
Enter file in which to save the key (/home/usrname/.ssh/id_dsa):     #询问公钥和私钥存放的位置，回车用默认位置即可
Enter passphrase (empty for no passphrase):     #询问输入私钥密语，输入密语
Enter same passphrase again:     #再次提示输入密语确认
Your identification has been saved in /home/usrname/.ssh/id_dsa.     #提示公钥和私钥已经存放在/root/.ssh/目录下
Your public key has been saved in /home/usrname/.ssh/id_dsa.pub.
The key fingerprint is:
x6:68:xx:93:98:8x:87:95:7x:2x:4x:x9:81:xx:56:94 root@server     #提示key的指纹 
 
-b 1024　采用长度为1024字节的公钥/私钥对，最长4096字节，一般1024或2048就足够满足安全需要了，太长的话加密解密需要的时间也增长。
-t rsa　 采用rsa加密方式的公钥/私钥对，除了rsa还有dsa方式，rsa方式最短不能小于768字节长度。
如果还需要使用更多其他参数请参考man ssh-keygen。
         在生成密钥对的过程中你被询问：输入密码短句 Enter passphrase (empty for no passphrase) ，密码短句（passphrase）是你使用一个短语或者一句话作为密码输入，再由系统内部的加密或是散列算法生成虚拟密码后，进行下一步的认证。好处是 增强了安全性不易被破解。看过很多文章，里面都把这个短句输入为空，也就是代表不使用密码短句。在这里我强烈要求你输入密码短句。有人会说使用密码短句 后，登陆还要输入密码短句这样使用没有比使用用户名和密码登陆方便多少，我说请你不要急，接着看我的文章。
注意：如果你生成密钥对而不设置密码短语，那么如果你的私钥丢失了，那么就你的麻烦可能会比丢失用户名密码还严重。
第二步：拷贝你的公钥到被管理的服务器上
在你的管理服务器上把你的公钥拷贝到被管理服务器上要进行自动登陆的用户目录下。
[root@server ~]# scp .ssh/id_dsa.pub remote_usrname@192.168.0.2:      #比如你想使用用户peter登陆，则remote_usrname请以peter代替 
改名和进行权限设置
        登陆被管理的服务器，进入需要远程登陆的用户目录，把公钥放到用户目录的 .ssh 这个目录下（如果目录不存在，需要创建~/.ssh目录，并把目录权限设置为700），把公钥改名为authorized_keys2，并且把它的用户权限设成600
[peter@client ~]$ ls
id_rsa.pub
[peter@client ~]$ mkdir ~/.ssh     #如果当前用户目录下没有 .ssh 目录，请先创建目录
[peter@client ~]$ chmod 700 ~/.ssh
[peter@client ~]$ mv id_rsa.pub ~/.ssh
[peter@client ~]$ cd ~/.ssh
[peter@client ~]$ cat id_rsa.pub >> authorized_keys2
[peter@client ~]$ rm -f id_rsa.pub
[peter@client ~]$ chmod 600 authorized_keys2
[peter@client ~]$ ls -l
total 4
-rw-------  1 peter peter 225 Oct 10 11:28 authorized_keys2 
 
测试使用密钥对进行远程登陆
[root@server ~]# ssh peter@192.168.0.2
Enter passphrase for key '/root/.ssh/id_rsa':      #提示输入密码短语，请输入刚才设置的密码短语
Last login: Sun Oct 10 11:32:14 2010 from 192.168.0.1
[peter@client ~]$


如果你不能用正确的登录，应该重新检查一下你的authorized_keys2的权限。也可能要检查.ssh目录的权限。
使用 ssh-agent（ssh代理）自动输入密码短语
牢记你的“密码短句”，现在你可以用你的密钥而不是密码来登录你的服务器了，但是这样仍然没有省什么事，你还是要输入密钥的“密码短语”。有更简便的方法 吗？答案就是采用SSH代理（ssh-agent），一个用来帮你记住“密码短语”的程序。 ssh-agent是OpenSSH中默认包括的ssh代理程序。
登陆管理服务器
[root@server ~]# ssh-agent
SSH_AUTH_SOCK=/tmp/ssh-vEGjCM2147/agent.2147; export SSH_AUTH_SOCK;
SSH_AGENT_PID=2148; export SSH_AGENT_PID;
echo Agent pid 2148; 
 
当你运行ssh-agent，它会打印出来它使用的 ssh 的环境和变量。要使用这些变量，有两种方法，一种是手动进行声明环境变量，另一种是运行eval命令自动声明环境变量。
方法一：手动声明环境变量
[root@server ~]# SSH_AUTH_SOCK=/tmp/ssh-vEGjCM2147/agent.2147; export SSH_AUTH_SOCK;
[root@server ~]# SSH_AGENT_PID=2148; export SSH_AGENT_PID;
[root@server ~]# printenv | grep SSH     #检查 ssh 环境变量是否已经加入当前会话的环境变量
SSH_AGENT_PID=2148
SSH_AUTH_SOCK=/tmp/ssh-vEGjCM2147/agent.2147
 
方法二：运行eval命令自动声明环境变量
[root@server ~]# eval `ssh-agent`
Agent pid 2157
[root@server ~]# printenv | grep SSH     #检查 ssh 环境变量是否已经加入当前会话的环境变量
SSH_AGENT_PID=2148
SSH_AUTH_SOCK=/tmp/ssh-vEGjCM2147/agent.2147 
 
现在 ssh-agent 已经在运行了，但是 ssh-agent 里面是空白的不会有解密的专用密钥。我们要告诉它我们有私钥和这个私钥在哪儿。这就需要使用 ssh-add 命令把我们的专用密钥添加到 ssh-agent 的高速缓存中。
[root@server ~]# ssh-add ~/.ssh/id_dsa
Enter passphrase for /home/user/.ssh/id_dsa:     #输入你的密码短语
Identity added: /home/user/.ssh/id_dsa (/home/user/.ssh/id_dsa) 
[root@server ~]# ssh-add -l     #查看 ssh代理的缓存内容
1024 72:78:5e:6b:16:fd:f2:8c:81:b1:18:e6:9f:77:6e:be /root/.ssh/id_rsa (RSA)
 
输入了密码短句，现在好了，你可以登录你的远程服务器而不用输入你的密码短语了，而且你的私钥是密码保护的。试试看是不是很爽！
[root@server ~]# ssh peter@192.168.0.2
Last login: Sun Oct 10 11:32:45 2010 from 192.168.0.1
[peter@client ~]$ 
 
登陆服务器进行操作结束后，记得还要把 ssh-agent 关掉，不然其他人登陆后也可以远程了。
[root@server ~]# ssh-agent -k
unset SSH_AUTH_SOCK;
unset SSH_AGENT_PID;
echo Agent pid 2148 killed;
[root@server ~]# ssh-add -l     #查看一下，缓存里已经没有了密钥了
The agent has no identities. 
 
下次登陆的时候输入
#ssh-add
输入密码提示
#ssh -Y username@ip


####################################
使用ssh-agent，实现ssh完全免密码登陆
    ssh-agent是一种控制用来保存公钥身份验证所使用的私钥的程序，其实ssh-agent就是一个密钥管理器，运行ssh-agent以后，使用ssh-add将私钥交给ssh-agent保管，其他程序需要身份验证的时候可以将验证申请交给ssh-agent来完成整个认证过程。通过使用ssh-agent就可以很方便的在不的主机间进行漫游了，假如我们手头有三台server：host1、host2、host3且每台server上到保存了本机(supersun.biz)的公钥，因此我可以通过公钥认证登录到每台主机：
    [[e-mail] ~]#ssh host1
    Last login: Thu Oct 18 13:56:08 2007 from supersun
    [root@host1 root]#
     
    [[e-mail] ~]#ssh host2
    Last login: Fri Oct 12 11:14:44 2007 from supersun
    [root@host2 root]#
     
    [[e-mail] ~]#ssh host3
    Last login: Sat Sep 29 10:21:32 2007 from supersun
    [root@host3 root]#
     
    但是这三台server之间并没有并没有保存彼此的公钥，而且我也不可能将自己的私钥存放到server上(不安全)，因此彼此之间没有公钥进行认证（可以密码认证，但是这样慢，经常输密码，烦且密码太多容易忘）。但是如果我们启用ssh-agent，问题就可以迎刃而解了。
     
    启用ssh-agent:
    [[e-mail] ~]#eval `ssh-agent `
    Agent pid 3526
     
    添加私钥：
    [[e-mail] ~]#ssh-add
    Identity added: /root/.ssh/id_rsa (/root/.ssh/id_rsa)


    编缉/etc/ssh/ssh_config文件：ForwardAgent yes


    让ssh-agent能转发，这样就可以这样登陆了:supersun.biz---->host1---->host2，到此请注意，如果host1上没有设定转发的话就登不了host3了，设定了转发后可以进一步跳到rs3上了。
     
    [[e-mail] ~]#ssh host1
    Last login: Thu Oct 18 16:21:29 2007 from supersun
    [root@host1 root]# vi /etc/ssh/ssh_config
    [root@host1 root]# ssh host2
    Last login: Thu Oct 18 16:20:28 2007 from supersun
    [root@host2 root]# ssh host3
    Last login: Thu Oct 18 16:10:39 2007 from supersun
    [root@host3 root]#
     
    到这里基本上已经大功告成了，还有一个小问题那就是总不能每次都手动运行ssh-agent吧！最省时的方法就是将它写到profile中去，为了不把profile搞乱，我在/etc/profile.d下建一个ssh-agent.sh文件：
     
    [[e-mail] ~]#cat /etc/profile.d/ssh-agent.sh
    #!/bin/sh
    if [ -f ~/.agent.env ]; then
    . ~/.agent.env >/dev/null
    if ! kill -0 $SSH_AGENT_PID >/dev/null 2>&1; then
    echo "Stale agent file found. Spawning new agent..."
    eval `ssh-agent |tee ~/.agent.env`
    ssh-add
    fi
    else
    echo "Starting ssh-agent..."
    eval `ssh-agent |tee ~/.agent.env`
    ssh-add
    fi
    
    这样就不会生成太多的ssh-agent程序了，而且支持GUI环境。当我打开一个终端的话：
    Stale agent file found. Spawning new agent...
    Agent pid 2543
    Identity added: /root/.ssh/id_rsa (/root/.ssh/id_rsa)