Linux安全与加密基础(二)

Linux安全与加密基础(二)


  • 常见的加密算法
  • SSL: Openssl与CA认证
  • ssh服务
  • dropbear
  • AIDE
  • sudo

gpg

gpg亦可用于对称加密与文件检验。

文件完整性的两种实施方式

被安装的文件
    MD5单向散列
    rpm --verify package_name (or -V)
发行的软件包文件
    GPG公钥签名
    rpm --import /etc/pki/rpm-gpg/RPM-GPG-KEY-redhat*
    rpm --checksig pakage_file_name (or -K)

使用gpg实现对称加密

gpg的对称加密算法使用的是 CAST5,

对称加密一个文件

[[email protected] /testdir]#gpg -c issue 
[[email protected] /testdir]#ls     # issue.gpg是加密后的文件
issue  issue.gpg

使用gpg -c加密一个文件时,会弹出一个对话框要求你输入密码:

解密:gpg加密的文件在本机执行解密时会直接解密而不需要输入密码,但在其它机子上时会要求输入密码。

本机解密:

[[email protected] /testdir]#gpg -d issue.gpg > issue.2gpg: keyring `/root/.gnupg/secring.gpg‘ created
gpg: CAST5 encrypted data
gpg: encrypted with 1 passphrase
gpg: WARNING: message was not integrity protected
[[email protected] /testdir]#lsissue  issue.2  issue.gpg
[[email protected] /testdir]#cat issue.2\S
Kernel \r on an \m

[[email protected] /testdir]

非本机解密:

gpg解密时除了重定向方式,还可以如下解密:

pgp -o file2 -d file.gpg   # -o 必须在前

使用gpg实现非对称加密

如centos 7要加密一个文件传给centos 6, 这个过程应该是要拿centos 6的公钥加密,所以要在centos 6上先生成公钥。

1.在hostA主机上生成公钥/私钥对:gpg --gen-key

此操作会用随机数生成密钥对儿,需要移动鼠标或敲击键盘,所以此命令最好在本地终端作:

2.在hostA主机上查看公钥:gpg--list-key

[[email protected] ~]#gpg --list-key/root/.gnupg/pubring.gpg
------------------------
pub   2048R/79AC0435 2016-09-25uid                  liansir <[email protected]>
sub   2048R/040E5B00 2016-09-25
[[email protected] ~]#

在hostA主机上导出公钥到liansir.pubkey

gpg -a --export -o liansir.pubkey-a 表示base64编码,这一步是转换成易读的编码

gpg生成的密钥对在家目录下的/.gnupg
[[email protected] ~]#gpg -a --export -o liansir.pubkey # 直接导出到当前目录
[[email protected] ~]#ls
anaconda-ks.cfg  Documents  f1           install.log.syslog  Music     Public     VideosDesktop          
Downloads  install.log  liansir.pubkey      Pictures  Templates
[[email protected] ~]#

3.从hostA主机上复制公钥文件到需加密的B主机上

[[email protected] ~]#scp liansir.pubkey 10.1.1.2:
[email protected]‘s password: 
liansir.pubkey                                                      100% 1707     1.7KB/s   00:00    
[[email protected] ~]#

4.在需加密数据的hostB主机上生成公钥/私钥对: gpg --gen-key

[[email protected] ~]#gpg --gen-key[[email protected] ~]#gpg --list-key/root/.gnupg/pubring.gpg
------------------------
pub   2048R/0FE97934 2016-09-25uid                  zhizhan <[email protected]>
sub   2048R/E43BDE3E 2016-09-25

5.在hostB主机上导入hostA的公钥: gpg --import

[[email protected] ~]#gpg --import liansir.pubkey gpg: key 79AC0435: public key "liansir <[email protected]>" imported
gpg: Total number processed: 1gpg:               imported: 1  (RSA: 1)
[[email protected] ~]#[[email protected] ~]#gpg --list-key/root/.gnupg/pubring.gpg
------------------------
pub   2048R/0FE97934 2016-09-25uid                  zhizhan <[email protected]>
sub   2048R/E43BDE3E 2016-09-25pub   2048R/79AC0435 2016-09-25uid                  liansir <[email protected]>
sub   2048R/040E5B00 2016-09-25
[[email protected] ~]#

6.用从hostA主机导入的公钥,加密hostB主机的文件FILE,生成FILE.gpg

gpg -e -r liansir FILE
[[email protected] /testdir]#gpg -e -r liansir fstab
gpg: 040E5B00: There is no assurance this key belongs to the named user

pub  2048R/040E5B00 2016-09-25 liansir <[email protected]>
 Primary key fingerprint: F042 2A48 096B C16A D953  3D2C 8657 6F32 79AC 0435
      Subkey fingerprint: CC15 C943 A52A AF8A 1BE6  8B05 0C9D D197 040E 5B00

It is NOT certain that the key belongs to the person named
in the user ID.  If you *really* know what you are doing,
you may answer the next question with yes.

Use this key anyway? (y/N) y

[[email protected] /testdir]#ls
fstab  fstab.gpg
[[email protected] /testdir]#file fstab.gpg 
fstab.gpg: data
[[email protected] /testdir]#

7.复制加密文件到hostA主机

[[email protected] /testdir]#scp fstab.gpg 10.1.1.1:/testdir
[email protected]‘s password: 
fstab.gpg                                                           100%  812     0.8KB/s   00:00    
[[email protected] /testdir]#

8.在hostA主机解密文件: gpg -o file -d file.gpg

[[email protected] /testdir]#gpg -o fstab -d fstab.gpg 
gpg: encrypted with 2048-bit RSA key, ID 040E5B00, created 2016-09-25
      "liansir <[email protected]>"

至此,我们利用gpg工具就完成了一个完整的非对称加密过程,如果要删除公钥与私钥,如使用如下命令:

gpg --delete-secret-keys liansir
gpg --delete-keys liansir

ssh 服务

SSH 为 Secure Shell 的缩写,由 IETF 的网络小组(Network Working Group)所制定;SSH 为建立在应用层基础上的安全协议。SSH是目前较可靠,专为远程登录会话和其他网络服务提供安全性的协议。利用 SSH 协议可以有效防止远程管理过程中的信息泄露问题。

ssh的功能

传统的网络服务程序,如:ftp、smtp、telnet在本质上都是不安全的,因为它们在网络上用明文传送口令和数据,就是很容易受到“中间人”(man-in-the-middle)的攻击。所谓“中间人”的攻击方式,就是“中间人”冒充真正的服务器接收你传给服务器的数据,然后再冒充你把数据传给真正的服务器;通过使用SSH,你可以把所有传输的数据进行加密,这样"中间人"这种攻击方式就很难实现了,而且也能够防止DNS欺骗和IP欺骗。使用SSH,其传输的数据是经过压缩的,所以可以加快传输的速度。故SSH可以为这些不安全的服务提供一个安全的ssh隧道。

相关知识点:

ssh: secure shell, protocol, 22/tcp, 安全的远程登录
    OpenSSH: ssh协议的开源实现
    dropbear:另一个开源实现
SSH协议版本
    v1: 基于CRC-32做MAC,不安全;man-in-middle
    v2:双方主机协议选择安全的MAC方式
    基于DH算法做密钥交换,基于RSA或DSA实现身份认证
两种方式的用户登录认证:
    基于password
    基于key

ssh客户端

ssh的配置文件在/etc/ssh目录下,ssh_config为其客户端配置文件,sshd_config为其服务端配置文件。

ssh的使用格式:

格式:ssh[[email protected]]host [COMMAND]
ssh[-l user] host [COMMAND]
-p port:远程服务器监听的端口-b:指定连接的源IP
-v:调试模式
-C:压缩方式
-X: 支持x11转发
-Y:支持信任x11转发ForwardX11Trusted yes
-t: 强制伪tty分配ssh-t remoteserver1 sshremoteserver2

修改ssh的默认端口与登陆

ssh服务的默认端口是tcp/22,可在ssh的配置文件下修改其默认端口,而centos 7还得修改selinux的相关配置:

# semanage port -a -t ssh_port_t -p tcp 2222

sshd_config:

在centos 7上修改ssh的默认端口为2222,并重启服务

[[email protected] ~]#semanage port -a -t ssh_port_t -p tcp 2222
[[email protected] ~]#systemctl restart sshd

现在让其它主机ssh连接时则必须要加相应的端口:-p portnum

[[email protected] ~]#ssh 10.1.1.2 -p [email protected]‘s password: 
Last login: Sun Sep 25 03:48:36 2016 from 10.1.252.68[[email protected] ~]#

在ssh远程连接其它主机时,在当前用户的家目录下的.ssh目录里面,会生成一个known_hosts文件,这个文件记录了ssh的登录信息,远程主机的公钥,即远程主机的/etc/ssh/ssh_host_rsa_key.pub文件。

此处记录公钥的目的是:在客户机在下次连接服务器时,因为服务器的公钥已经被复制到客户机的known_hosts文件中了,故在下次连接服务器时,服务器会用其私钥作一个数字签名发到客户机,而客户机则用之前保存的对方公钥解密,从而确定对方的身份!

小结:

允许实现对远程系统经验证地加密安全访问
当用户远程连接ssh服务器时,会复制ssh服务器/etc/ssh/ssh_host*key.pub
(centos7.0默认是ssh_host_ecdsa_key.pub)文件中的公钥到客户机的~./ssh/kno
w_hosts中。下次连接时,会比较两处是否有不同。

X协议转发

所有图形化应用程序都是X客户程序,x11能够通过tcp/ip连接远程X服务器,数据没有加密机,但是它通过ssh连接隧道安全进行。由于涉及到了图形界面程序,我们需要在本机上进行X协议转发。如:

ssh-X [email protected]

如果我们想在通过远程连接工具,直接打开远程主机的桌面,Xmanager Enterprise提供了一个xstart的工具就可以做到。

点击运行会提示输入密码:接着您就会看到远程主机的桌面了!

退出:system--> logout

绕过防火墙

ssh -t 是一个有意思的工具,可实现防火墙的跳转,一步到位跳转,强制分配“伪终端”。

场景:

A: 互联网主机:10.1.1.2,centos 7
B,C: 局域网主机;10.1.1.1,cetntos 6 	10.1.1.3,centos 5防火墙:

A 无法访问C, 但A可以访问B,
C: iptables -A INPUT -s 10.1.1.2 -j REJECT

如果我们要使A成功访问C, 可如下操作:

操作:A ssh 到B, 在B上再ssh到C, 从而A成功访问C!

[[email protected] ~]#iptables -A INPUT -s 10.1.1.2 -j REJECT[[email protected] ~]#
[[email protected] ~]#ssh 10.1.1.3 -b 10.1.1.2
ssh: connect to host 10.1.1.3 port 22: Connection refused
[[email protected] ~]#

其实我们可“一步到位”:

[[email protected] ~]#ssh -t 10.1.1.1 ssh [email protected]‘s password: 
[email protected]‘s password: 
Last login: Sun Sep 25 18:36:22 2016 from 10.1.250.37[[email protected] ~]#exit
logout
Connection to 10.1.1.3 closed.
Connection to 10.1.1.1 closed.[[email protected] ~]#

在centos 5上依然还是显示centos 6连接的它,而非centos 7.

基于key认证

当我们需要管理一大堆机器时,远程连接需要记住每个机器的密码,而且每次都得输入,不方便效率不高,基于key认证也帮助我们解决此问题!

1.在客户端生成密钥对

[[email protected] ~]#ssh-keygen Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):  #密钥对保存的位置Enter passphrase (empty for no passphrase):   # 加密私钥,直接回车则不加密私钥Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
eb:00:81:3d:6f:c2:90:3b:8d:22:42:66:0c:26:44:33 [email protected] key‘s randomart image is:
+--[ RSA 2048]----+
|=E               |
|= o+             |
| =+ +            |
|+  * +           |
|+ + = o S        |
|o. . +   .       |
|      . .        |
|       o         |
|        .        |
+-----------------+
[[email protected] ~]#[[email protected] ~]#cd .ssh[[email protected] ~/.ssh]#lsid_rsa  id_rsa.pub  known_hosts
[[email protected] ~/.ssh]#

注意:

ssh-keygen -t rsa -p 为了安全,可以考虑给私钥加密,选项-p,从而在连接远程主机时需要输入私钥的密码

2.把公钥文件传输至远程服务器对应用户的家目录

[[email protected] ~]#ssh-copy-id -i .ssh/id_rsa.pub 10.1.1.1/usr/bin/ssh-copy-id: INFO: attempting to log in with the new key(s), to filter out any that are already installed
/usr/bin/ssh-copy-id: INFO: 1 key(s) remain to be installed -- if you are prompted now it is to install the new [email protected]‘s password: 

Number of key(s) added: 1Now try logging into the machine, with:   "ssh ‘10.1.1.1‘"and check to make sure that only the key(s) you wanted were added.

[[email protected] ~]#

公钥复制到远程服务器默认位置了,并会被改名为authorized_keys,且权限必须为600,基于key的认证,即使对方更改了口令,照样能够连接。

测试:

不输入任何密码又不太安全,假如有人正在运用你的机器。。。那就给重设私钥口令吧!

重设私钥口令:#ssh-keygen–p, 口令须大于4bites,否则失败

[[email protected] ~]#ssh-keygen -pEnter file in which the key is (/root/.ssh/id_rsa): 
Key has comment ‘/root/.ssh/id_rsa‘Enter new passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved with the new passphrase.
[[email protected] ~]#

测试:

如此一来,您就不必记一大堆服务器的密码了,只须记住自己的私钥口令就OK了!但每次还是得输入,不爽!我们可以将口令托管于bash!

口令托管

基于key认证中,私钥口令的托管只需ssh-agent bash即可,然后用ssh-add 将口令添加给代理。

以上是在Linux中实现的,如果我们是在Windows中用Xshell或SecureCRT类似的工具应该如何设置呢?

Xshell:

保存到Windows桌面之后,就可导入到linux主机中:

[[email protected] ~]#cat id_rsa_2048.pub >> .ssh/authorized_keys [[email protected] ~]#

接着设置:

SecureCRT:

然后就一直下一步就行!CRT会同步生成公钥(Identity.pub)与私钥(Identity),最后只需导入公钥给 ssh 服务器就行。

注意:转化为openssh兼容格式(适合SecureCRT,Xshell不需要转化格式),并复制到需登录主机上相应文件authorized_keys中,注意权限必须为600。

转换:
ssh-keygen-i-f Identity.pub >> .ssh/authorized_keys

可见二者的格式略有不同!

[[email protected] ~]#ssh-keygen -i -f Identity.pub >> .ssh/authorized_keys 
[[email protected] ~]#

先到这儿吧,本篇前文主要用gpg工具进行了一个完整的非对称加密,后文主要讲解了ssh的一个应用,如x11协议转发,强制分配tty一步到位实现绕过防火墙,最后就是基于key认证的内容。

时间: 2024-10-17 23:36:42

Linux安全与加密基础(二)的相关文章

Linux安全与加密基础(一)

Linux安全与加密基础(一) 常见的加密算法 SSL: Openssl与CA认证 ssh服务 dropbear AIDE sudo 常见的加密算法 密码学古以有之,尤其是在中国古代的战争中,在现在科技中,密码学不得不说是一门高深的学问,普通人知其一二足矣:本文要讨论的是关于加密与解密的基本原理与应用,以及关于Linux系统中的一些安全管理问题,如ssh服务,监控系统关键文件是否被篡改,sudo提权等. 1.对称加密 所谓对称加密,就是同一个密钥可以同时用作信息的加密和解密. 常见的对称加密算法

Linux Shell学习之基础篇

在学习Linux和OpenStack过程中,感觉不管是大规模部署部署还是运维,Shell脚本都已经是标配,所以学好脚本很有必要. 以下仅为Linux Shell的一些基础笔记,这里作为笔记记下. ===============linux shell简介====================== 1.命令补全:连续按两次Tab   文件或者文件夹补全:一次Tab   命令帮助:--help 2.chmod u=rwx,g+w,o+r filename   chown root.root file

shell基础二十篇

shell基础二十篇 编者按:由 wingger  整理的 shell基础十二篇 以及L_kernel补充的第十三--二十篇,涉及shell 编程及使用的各个方面,又附有大量的例子,极适合初学者系统学习.如果配合網中人的shell 十三問? ,效果更加明显. 这里是其中的第十章 sed.  其他各章可察看相应的 link. shell基础1:文件安全与权限 http://bbs.chinaunix.net/thread-434579-1-1.html 附:Linux的用户和用户组管理 http:

嵌入式 Linux开发Kernel移植(二)——kernel内核配置和编译

嵌入式 Linux开发Kernel移植(二)--kernel内核配置和编译 本文选择linux 2.6.35.7版本kernel进行实践. 一.linux kernel源码目录分析 Kbuild,Kernel Build,管理内核编译的文件 Makefile,kernel工程的Makefile. arch,体系架构,arch目录下的子目录存放的是不同种类的架构 block,块设备,一般是存储设备,存放的块设备管理的相关代码 crypto,加密相关,存放加密算法实现代码 Documentation

嵌入式linux开发uboot移植(二)——uboot工程源码目录分析

嵌入式linux开发uboot移植(二)--uboot工程源码目录分析 本文分析的uboot为uboot_smdkv210,是三星官方发布的基于S5PV210评估开发板对应的uboot. 一.uboot源码目录结构解析 1.cpu 本文件夹下的子文件与处理器相关,每个文件夹代表一种CPU系列.每个子目录中都包括cpu.c.interrupts.c.start.S文件. cpu.c主要用于初始化CPU.设置指令Cache和数据Cache等 interrupt.c主要用于设置系统的各种中断和异常 s

Linux块设备加密之dm-crypt分析

Linux块设备加密之dm-crypt分析 来自 http://blog.csdn.net/sonicling/article/details/6275898 这篇文章算是<Device Mapper代码分析>的后续篇,因为dm-crypt是基于dm框架的,因此与上一篇一样,也以2.6.33内核代码为基础来讲述代码的分析过程.但是本文侧重点不同在于着重分析一下三个方面: 1.Linux密码管理 2.dm-crypt到与Linux密码的关联 3.dm-crypt的异步处理 一.Linux密码管理

Linux系统简介&amp;分区&amp;基础命令(ADMIN01-1)

讲师牛犇课程介绍:ADMIN 管理员技术7天Engineer 工程师技术6天Services 系统&服务进阶7天 ADMIN课程安排:1.Linux系统简介 安装RHEL7系统.RHEL7基本操作2.教学环境介绍.命令行基础.目录和文件管理3.配置网络.软件包管理.文本/文件查找4.NTP时间同步.tar备份与恢复.管理用户和组.cron计划任务5.权限和归属.使用LDAP认证.家目录漫游6.分区规划及使用.LVM逻辑卷.管理交换空间7.综合串讲.综合练习 一.基础知识 UNIX诞生时间1970

Linux运维常见基础面试练习题(1)

Linux运维常见基础面试练习题(1) 1 创建目录/data/oldboy,并且在该目录下创建文件oldboy.txt,然后在文件oldbot.txt里写入内容"inet addr:10.0.0.8 Bcast:10.0.0.225 Mask:255.255.255.0"不包含引号 方法一 [[email protected] /]# mkdir /data/oldboy -p [[email protected] /]# cd /data/oldboy/ [[email prote

Linux运维常见基础面试练习题(2)

Linux运维常见基础面试练习题(2) 11 如何查看占用端口8080的进程. 方法一 [[email protected] data]# ps -ef|grep 8080 root       3886   3804  0 17:11 pts/1    00:00:00 grep 8080 [[email protected] data]# 12 Linux所有服务的启动脚本都存放在(/etc/rc.d/init.d )目录中. A /etc/rc.d/init.d  B /etc/init.