了解 SSH 协议

NetApp

配置 : 安全性 > SSH/SSL : 了解 SSH 和 SSL : 了解 SSH 协议

了解 SSH 协议

安全外壳 (SSH) 协议使用主机密钥和服务器密钥来执行公共密钥加密。SSH 可使存储系统实现对客户端进行身份验证，并生成会话密钥对客户端和存储系统之间发送的数据进行加密，从而提高安全性。

在 Data ONTAP 上运行的 SSH 服务器版本为 Data ONTAP SSH 版本 1.0。有关在 Data ONTAP 中实施通用漏洞披露 (Common Vulnerabilities and Exposures, CVE) 修复的信息，请参见 NetApp 支持站点上的可疑安全漏洞页面。

Data ONTAP 支持 SSH 1.x 协议和 SSH 2.0 协议。

Data ONTAP 支持以下 SSH 客户端：

•	在 UNIX 平台上，OpenSSH 客户端版本 4.4p1

•	在 Windows 平台上，SSH Communications Security 客户端（SSH Tectia 客户端）版本 6.0.0

•	在 Windows 平台上，Vandyke SecureCRT 版本 6.0.1

•	在 Windows 平台上，PuTTY 版本 0.6.0

•	在 UNIX 平台上，F-Secure SSH 客户端版本 7.0.0

SSH 使用以下三种密钥提高安全性：

•

SSH 使用主机密钥对会话密钥进行加密和解密。请确定主机密钥的大小，Data ONTAP 将在您配置 SecureAdmin 时生成主机密钥。

注：在与 Data ONTAP 8.0 或更高版本一起提供的存储系统上，将自动设置 SecureAdmin。

•

服务器密钥

SSH 使用服务器密钥对会话密钥进行加密和解密。请在配置 SecureAdmin 时确定服务器密钥的大小。如果启用了 SSH，则 Data ONTAP 将在出现以下情况之一后生成服务器密钥：

•	启动 SecureAdmin

•

经过一小时后

•

存储系统重新启动

•

SSH 使用会话密钥对客户端和存储系统之间发送的数据进行加密。会话密钥由客户端创建。为使用会话密钥，客户端会使用主机密钥和服务器密钥对会话密钥进行加密，并将此加密的会话密钥发送到存储系统，随后存储系统使用主机密钥和服务器密钥对会话密钥进行解密。解密会话密钥之后，客户端和存储系统便可交换加密数据了。

下表显示了 Data ONTAP 如何在存储系统和客户端之间创建安全会话。

阶段	客户端执行的操作	存储系统执行的操作
1	客户端向存储系统发送 SSH 请求。	存储系统收到来自客户端的 SSH 请求。
2		存储系统向客户端发送主机密钥的公共部分，如果使用的是 SSH 1.x，则发送服务器密钥。
3	客户端存储主机密钥的公共部分，以供日后进行主机身份验证。
4	客户端生成随机会话密钥。
5	客户端使用主机密钥的公共部分（如果使用的是 SSH 1.x，则将使用服务器密钥）对会话密钥进行加密，并将此会话密钥发送到存储系统。
6		存储系统使用主机密钥的私有部分对会话密钥进行解密，如果使用的是 SSH 1.x，则将使用服务器密钥进行解密。
7	存储系统和客户端使用会话密钥交换其加密和解密的信息。

注：某些字符（如问号 [?]、句点 [.]、星号 [*] 和脱字号 [^]）对于在客户端上运行的命令解释器可能具有特殊含义。客户端命令解释器可能会在将字符传递到 SSH 程序之前将其替换为特定于环境的值。为防止发生替换，您可在此类字符前使用转义序列（如 ssh ip_address \?），或者将此类字符括在引号内（如 ssh ip_address '?'）。

Data ONTAP 支持密码身份验证和基于公共密钥的身份验证，但不支持使用 .rhosts 文件，也不支持使用 .rhosts 文件来进行 RSA 主机身份验证。

Data ONTAP 支持以下加密算法：

•	RSA/DSA 1024 位

•	在 CBC 模式下使用 3DES

•

•

相关链接

可疑安全漏洞页面：support.netapp.com/NOW/knowledge/docs/olio/scanner_results