在 SSH 中使用 RSA 和 DSA 認證（詳解）

[原貼]http://weblog.kreny.com/archives/2005/10/rsadsa_authenti.html  [作者]: kreny

一直想把自己的服務器的 SSH 認證的模式從用戶名 密碼模式 轉換成  RSA 和 DSA 認證協議 ，借著OpenSSH 4.2的發布,今天寫了一下配置過程并收集了一些關于 RSA 和 DSA 的參考文章。

思路整理：
一直沒有理解公匙模式下的認證過程，這里總結一下公匙和秘匙的制作和安置方法。以下假設一臺服務器Server和一臺PC作為例子。
首先，并不是在服務器上生成公匙和秘匙。因為很多關于RSA 和 DSA 認證協議的文章都使用Linux服務器作為道具，自然也就使用諸如  ssh-keygen -t rsa  之類的命令，而使得我總是誤認為要先在Linux服務器上先生成公匙和秘匙。而真正的安置方法是：
當從PC連接Server的時候，需要在PC上保存一對公匙和秘匙(這對公匙和秘匙可以用諸如PenguiNet之類的工具生成)，而只要把生成的公匙傳到Server上即可。而往往在Server上，公匙是被放在 ~/.ssh/authorized_keys 這個文件中。這個文件的設置可以在  /etc/ssh/sshd_config  中找到。

 AuthorizedKeysFile .ssh/authorized_keys

那么當從一個Linux Client Server連接到另外一個Linux Server的時候，我們應該在 Linux Client Server 上生成一對秘匙(RSA時默認為 id_rsa 和 id_rsa.pub)，保存在 ~/.ssh/ 中， 這個設置可以在  /etc/sshd/ssh_config  中設置：

 # IdentityFile ~/.ssh/identity
# IdentityFile ~/.ssh/id_rsa
# IdentityFile ~/.ssh/id_dsa

RAS/DSA認證安裝過程(以 tenten 用戶為例)：  
( 以下測試在最新的OpenSSH 4.2 下通過，在 OpenSSH_3.9p1 下測試失敗！ )

  [root@domain ~]$su - tenten
[tenten@domain ~]ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/tenten/.ssh/id_rsa):[Enter]
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/tenten/.ssh/id_rsa.
Your public key has been saved in /home/tenten/.ssh/id_rsa.pub.
The key fingerprint is:
c7:93:83:c4:24:30:56:90:37:a0:eb:a7:5d:4c:8d:ea:1a: tenten@example.com

:::或者:::

[tenten@kdx ~]$ ssh-keygen -t dsa
Generating public/private dsa key pair.
Enter file in which to save the key (/home/tenten/.ssh/id_dsa):
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /home/tenten/.ssh/id_dsa.
Your public key has been saved in /home/tenten/.ssh/id_dsa.pub.
The key fingerprint is:
a2:be:16:2e:66:e4:69:68:a0:eb:a7:5d:4c:8d:ea:1a:da:54:35:55:32:8e:e2 tenten@example.com

查看生成的文件：

 [tenten@kdx ~]$ ls /home/tenten/.ssh/ -la
total 28
drwx------ 2 tenten tenten 4096 Oct 11 16:09 .
drwx------ 3 tenten tenten 4096 Oct 9 16:50 ..
-rw------- 1 tenten tenten 736 Oct 11 16:09  id_dsa
-rw-r--r-- 1 tenten tenten 612 Oct 11 16:09  id_dsa.pub
-rw------- 1 tenten tenten 951 Oct 11 16:03  id_rsa
-rw-r--r-- 1 tenten tenten 232 Oct 11 16:03  id_rsa.pub
-rw-r--r-- 1 tenten tenten 667 Oct 9 16:48 known_hosts

設置 sshd_config 文件，去除密碼認證

 # To disable tunneled clear text passwords, change to no here!
PasswordAuthentication no

由于在 sshd_config 文件里面，我們設置了以下內容：

 #AuthorizedKeysFile .ssh/authorized_keys

所以我們要把共匙重命名為 autherized_keys

 [root@domain .ssh]# mv id_dsa.pub autherized_keys

所以最終服務器端 ~/.ssh/ 目錄下的內容為（注意authorized_keys的權限為 644）

 [tenten@domain .ssh]$ ls -la
total 12
drwx------ 2 tenten tenten 4096 Oct 11 19:57 .
drwx------ 3 tenten tenten 4096 Oct 11 18:50 ..
-rw-r--r-- 1 tenten tenten 232 Oct 11 19:46 authorized_keys

引申： 
在安裝 openssh 的最后，輸入 make install 命令后，會發現最后會生成 public/private key：

 Generating public/private  rsa1  key pair.
Your identification has been saved in /usr/local/etc/ssh_host_key.
Your public key has been saved in /usr/local/etc/ssh_host_key.pub.
The key fingerprint is:
22:67:00:5f:82:87:ab:22:e7:8e:cd:bb:d2:07:98:57 root@example.com

Generating public/private  dsa  key pair.
Your identification has been saved in /usr/local/etc/ssh_host_dsa_key.
Your public key has been saved in /usr/local/etc/ssh_host_dsa_key.pub.
The key fingerprint is:
17:6c:d8:6f:31:db:bd:3c:66:81:86:12:13:a4:33:a3 root@example.com

Generating public/private  rsa  key pair.
Your identification has been saved in /usr/local/etc/ssh_host_rsa_key.
Your public key has been saved in /usr/local/etc/ssh_host_rsa_key.pub.
The key fingerprint is:
27:0e:16:41:f8:96:ed:93:b6:a8:61:74:fe:87:e2:91 root@example.com
/usr/local/sbin/sshd -t -f /usr/local/etc/sshd_config

參考文檔：  
張微波:linux下SSH配合SecureCRT的密匙完美使用方法  
Daniel Robbins: 通用線程: OpenSSH 密鑰管理，第 1 部分

OpenSSH 的 RSA 和 DSA 認證協議的基礎是一對專門生成的密鑰，分別叫做專用密鑰和公用密鑰。使用這些基于密鑰的認證系統的優勢在于：在許多情況下，有可能不必手工輸入密碼就能建立起安全的連接。