SSH 详解：原理、优势与安全实践

一、SSH 概述

SSH（Secure Shell，安全外壳协议）是一种加密的网络传输协议，主要用于在不安全的网络环境中实现远程设备（如服务器、路由器）的安全登录、命令执行、文件传输等操作。它是 Telnet 协议的安全替代方案，解决了传统远程登录协议的安全漏洞。

Telnet 是早期的远程登录协议，二者在安全性、传输方式等核心维度差异显著，具体对比如下：

SSH 最关键的安全基础是非对称加密技术，其核心是“密钥对”机制，具体流程如下：

密钥对生成：
服务器端会预先生成一对密钥——公钥（Public Key） 和私钥（Private Key）。
- 公钥：可以公开分发，任何客户端都能获取；
- 私钥：仅由服务器自身保存，绝对不可泄露。
加密与解密规则：
用公钥加密的数据，只能通过对应的私钥解密；反之，用私钥加密的数据，只能通过对应的公钥解密。这种“单向性”确保了即使公钥被截取，第三方也无法解密用其加密的敏感信息。
SSH 登录的简化加密流程：
- 客户端首次连接服务器时，服务器会将自身的公钥发送给客户端；
- 客户端用服务器公钥加密登录信息（如密码或自身公钥）后发送给服务器；
- 服务器用自身私钥解密客户端发送的信息，验证通过后建立安全连接。

中间人攻击是 SSH 面临的主要安全威胁之一：攻击者伪装成“服务器”与客户端通信，同时伪装成“客户端”与真实服务器通信，窃取或篡改数据。验证服务器公钥指纹是防范该攻击的最有效手段，具体操作如下：

公钥本身是长字符串（如 RSA 公钥通常长达数百甚至数千位），不便于人工比对。“指纹”是通过哈希算法（如 MD5、SHA256）对长公钥进行压缩后的短字符串，便于肉眼确认一致性。

步骤1：首次连接时确认指纹
客户端首次 SSH 连接服务器时，会显示服务器公钥的指纹并提示确认，例如：
```
The authenticity of host '192.168.1.100 (192.168.1.100)' can't be established.
RSA key fingerprint is SHA256:X+Y+Z1234567890abcdefghijklmnopqrstuvwxyz.
Are you sure you want to continue connecting (yes/no/[fingerprint])?
```
此时需通过安全渠道（如线下、企业内部可信通信工具）向服务器管理员获取真实指纹，对比一致后再输入“yes”确认，避免直接信任未知指纹。

步骤2：手动查看服务器公钥指纹
若需主动验证服务器公钥指纹，可在服务器端或已信任的客户端执行以下命令：

功能	命令格式	示例
查看 MD5 指纹	ssh-keygen -E md5 -lf <公钥文件完整路径>	ssh-keygen -E md5 -lf /etc/ssh/ssh_host_rsa_key.pub
查看 SHA256 指纹（默认）	ssh-keygen -lf <公钥文件完整路径>	ssh-keygen -lf /etc/ssh/ssh_host_ecdsa_key.pub

注：服务器公钥文件通常存储在 /etc/ssh/ 目录下，文件名以 ssh_host_xxx_key.pub 结尾（如 RSA 公钥 ssh_host_rsa_key.pub）。