SSH 是如何工作的？_AI阅读总结 — 包阅AI

01 传输层

传输层提供加密、完整性和数据保护，确保客户端和服务器之间的通信安全。

第 1步 – 建立 TCP 连接

客户端启动与 SSH 服务器的 TCP 连接，通常是在 22 端口。

第 2 步 – 协议版本交换

客户端和服务器交换包含各自支持的 SSH 协议版本的标识字符串。

第 3 步 – 算法协商

客户端和服务器就加密、密钥交换、MAC（消息验证码）和压缩所使用的加密算法达成一致。

第 4 步 – 密钥交换

密钥交换算法（如 Diffie-Hellman）用于安全生成共享秘密。这一过程可确保双方在不直接传输的情况下获得相同的会话密钥。

第 5步 – 会话密钥推导

会话密钥是从共享秘密和其他交换信息中推导出来的。这些密钥用于加密和解密通信。

第 6步 – 密码初始化

双方使用导出的会话密钥初始化各自选择的加密和 MAC 算法。

第 7步 – 数据完整性和加密

传输层为客户端和服务器之间的所有后续通信提供数据完整性检查和加密。

02 验证层

验证层验证客户端的身份，确保只有授权用户才能访问服务器。

第 1步 – 服务请求

客户端请求 “ssh-userauth “服务。

第 2 步 – 身份验证方法广告

服务器公布可用的身份验证方法（如密码、公钥、键盘交互）。

第 3 步 – 客户端身份验证

客户端尝试使用一种或多种可用方法进行身份验证。常见方法包括：

• 密码验证：客户端向服务器发送密码，由服务器进行验证。
• 公钥验证：客户端证明拥有与先前注册的公钥相对应的私钥。
• 键盘交互式身份验证：服务器向客户端发送提示，客户端回复所需的信息（如 OTP、安全问题）。

第 4步 – 身份验证成功/失败

如果客户端的凭据有效，服务器将允许访问。否则，客户端可尝试其他认证方法或关闭连接。

03 连接层

连接层将加密和认证通信复用为多个逻辑通道。

第 1步 – 创建通道

客户端请求为各种类型的通信（如 shell 会话、文件传输、端口转发）打开通道。

第 2 步 – 信道请求

每个通道请求包括所需服务类型和任何附加参数等详细信息。

第 3 步 – 信道数据传输

数据通过已建立的信道传输。每个通道独立运行，允许多个服务在一个 SSH 连接上同时运行。

第 4 步 – 关闭通道

通道可以相互独立关闭，而不会影响整个 SSH 连接。关闭所有通道后，客户端即可终止 SSH 会话。

第 5 步 – 全局请求

连接层还支持全局请求，全局请求会影响整个连接而不是单个通道（例如，重新加密钥会话）。