Linux Manpages Online - man.cx manual pages

NÉV

ssh − biztonságos shell kliens (távoli gépre való belépésre szolgáló program)

ÁTTEKINTÉS

ssh [−l login_name] hostname [parancs]

ssh [−a] [−c idea|blowfish|des|3des|arcfour|none] [−e escape_char] [−i identity_fájl] [−l login_name] [−n] [−k] [−V] [−o opciók] [−p port] [−q] [−P] [−t] [−v] [−x] [−C] [−g] [−L port:host:hostport] [−R port:host:hostport] hostname [parancs]

LEÍRÁS

Az ssh (Secure Shell) egy program, ami arra való, hogy távoli gépekre jelentkezzünk be és/vagy parancsokat hajtsunk végre távoli gépeken. Célja az, hogy helyettesítse az rlogin-t és az rsh-t, és biztonságos (titkosított) kapcsolatot biztosítson két gép között. X11 kapcsolatokat és tetszőleges TCP/IP portokat szintén lehet a biztonságos csatornára továbbítani (forwardolni).

Az ssh kapcsolódik és belép a megadott hostname gépre. A felhasználó több módszerrel is igazolhatja azonosságát.

Előszor is, ha az a gép, amelyről a felhasználó belép fel van sorolva az /etc/hosts.equiv -ban vagy az /etc/ssh/shosts.equiv -ban a távoli gépen, és a felhasználói nevek megegyeznek mindkét oldalon, akkor rögtön beengedik. Másodszor, ha a . rhosts vagy a . shosts fájl ott van a felhasználó home könyvtárában a távoli gépen és tartalmaz egy sort, amely a kliens gép nevét tartalmazza, a felhasználó beléphet. Az authentikációnak (authentication - hitelesítés, amikor bizonyítod, hogy az vagy, akinek mondod magad - a ford. megjegyzése) ezt a formáját általában nem engedélyezi a szerver, mert nem biztonságos.

A második (és elsődleges) lehetőség az authentikációra az rhosts vagy hosts.equiv módszer, RSA-alapú gép-authentikációval kombinálva. Ez azt jelenti, hogy a belépés csak akkor engedélyezett, ha az . rhosts, . shosts, /etc/hosts.equiv, vagy /etc/ssh/shosts.equiv, megengedi, és ezen kívül a kliens gép kulcsát ellenőrizni lehet (lásd a $HOME/ . ssh/known_hosts és /etc/ssh/ssh_known_hosts -t a FÁJLOK részben). Ez az authentikációs módszer kizárja az "IP spoofing", "DNS spoofing" és a "routing spoofing" által kihasznált biztonsági lyukakat. [Megjegyzés a rendszergazdáknak: az /etc/hosts.equiv, . rhosts, és a rlogin/rsh protokollok általában eredendően nem biztonságosak és le kell tiltani őket, ha a biztonság fontos szempont.]

Harmadik authentikációs módszerként az ssh támogatja az RSA alapú authentikációt. Az elrendezés a nyilvános kulcsú kriptográfián alapul: vannak olyan titkosítási rendszerek, ahol a titkosítás és visszafejtés különböző kulcsok használatával történik, és a visszafejtéshez használt kulcsot nem lehet a titkosításhoz használt kulcsból kikövetkeztetni. Az RSA egy ilyen rendszer. Az elgondolás az, hogy minden felhasználó készít egy nyilvános/privát kulcspárt authentikációs célokra. A szerver tudja a nyilvános kulcsot, de a privát kulcsot csak a felhasználó ismeri. A $HOME/ . ssh/authorized_keys fájl tartalmazza azokat a nyilvános kulcsokat, amelyekkel be lehet lépni. Amikor a felhasználó be akar lépni, az ssh program megmondja a szervernek, hogy melyik kulcspárt akarja authentikációra felhasználni. A szerver ellenőrzi, hogy a kulcs engedélyezve van-e, és ha igen, akkor úgy teszi próbára a felhasználót (pontosabban az általa futtatott ssh programot), hogy egy véletlen számot küld el neki, amit a felhasználó nyilvános kulcsával titkosít. Ezt csak a megfelelő privát kulcs segítségével lehet visszafejteni. Ezután a felhasználó kliense visszafejti a privát kulcsal, így bebizonyítja, hogy ismeri a a privát kulcsot anélkül, hogy azt elküldené a szervernek.

Az ssh automatikusan alkalmazza az RSA authentikációs protokollt. A felhasználó az ssh-keygen(1) futattásával automatikusan létrehozza az ő RSA kulcspárját. Ezzel a privát kulcs a . ssh/identity -ba kerül, míg a nyilvános kulcs a . ssh/identity.pub -ba, a felhasználó home könyvtárában. A felhasználónak ezután a saját identity.pub -ját a . ssh/authorized_keys -ba kell másolnia a home könyvtárában a távoli gépen (az authorized_keys fájl megfelelt a hagyományos . rhosts fájlnak, és soronként egy kulcsot tartalmaz, bár a sorok nagyon hosszúak lehetnek). Ezután a felhasználó beléphet, anélkül hogy a jelszavát megadná. Az RSA authentikáció sokkal biztonságosabb mint az rhosts authentikáció.

Az RSA authentikáció egy authentikációs közvetítő (agent) segítségével használható a legkényelmesebben. Lásd az ssh-agent(1) -et további információkért.

Egy negyedik authentikációs módszerként, az ssh támogatja a TIS authentikációs szerveren keresztüli authentikációt. Az elképzelés az, hogy az ssh megkéri a TIS authsrv(8) -et, hogy authentikálja a felhasználót. Előfordulhat, hogy a felhasználói nevek a TIS adatbázisban nem ugyanazok mint a lokákis gépen, például ha a felhasználó egy smartcard -al vagy Digipass-al authentikálja magát. Ebben az esetben a felhasználói név az adatbázisban általában csak az authentikációs eszköz sorozatszámaként ismert. Az /etc/ssh/sshd_tis.map fájl tartalmazza a lokális felhasználók ás a neki megfelelő TIS adatbázis-beli nevek közötti leképezést. Ha ez a fájl nem létezik, vagy a felhasználó nincs benne, akkor az ssh feltételezi, hogy a felhasználói név és a TIS adatbázis-beli név ugyanaz.

Ha a többi authentikációs módszer meghiúsul, az ssh jelszót kér a felhasználótól. A jelszót ellenőrzés céljából elküldi a távoli gépre, azonban mivel minden kommunikáció titkosítva van, a jelszót nem olvashatja el valaki, aki a hálózaton hallgatózik.

Amikor a felhasználó azonosságát elfogadja a szerver, akkor vagy végrehajtja a megadott parancsot, vagy belép a gépbe, és a felhasználónak egy szokásos shell-t ad a távoli gépen. Minden, a távoli parancsal vagy shell-el történő kommunikáció automatikusan titkosítva lesz.

Ha egy pszeudo-terminál volt allokálva (normális login session), a felhasználó kiléphet a "~." parancs segítségével és felfüggesztheti az ssh -t "~^Z" -vel.

Az összes forwardolt kapcsolatot ki lehet listázni egy "~#" -el, és ha a session a forwardolt X11 vagy TCP/IP kapcsolatok végetérésére várva blokkol, akkor "~&" -el háttérbe lehet küldeni (Ezt nem szabad addig hasznélni, amíg a felhasználó shellje aktív, mert akkor a shell "lógni" fog). Az összes escape-szekvenciát "~?" -el lehet kilistázni.

Egyetlen tilde (~) karaktert "~~" -ként lehet elküldeni (vagy úgy, hogy a tildét a fentiekben nem említett karakter követi). Az escape karakter csak akkor van különleges karakterként interpretálva, ha újsort követ. Az escape karaktert meg lehet változtatni a konfigurációs fájlokban vagy a parancssorban.

Ha az ssh nem foglal le egy pszeudo terminált, akkor a session átlátszó lesz, és lehet bináris adatok megbízható átvitelére használni. A legtöbb rendszerben az escape karakter ’’none’’ -ra (semmire) való állítása a sessiont átlátszóvá teszi akkor is, ha egy tty van használatban.

Egy session akkor ér véget, amikor a parancs végrehajtása vagy a shell a távoli gépen véget ér, és az összes X11 és TCP/IP kapcsolat lezárult. Az ssh a távoli program kilépési értékével (exit status) lép ki.

Ha a felhasználó X11-et használ (a DISPLAY környezeti változó be van állítva), az X11 displayhez való kapcsolat automatikusan forwardolódik a távoli géphez, olymódon, hogy minden a shellből (vagy parancsból) indított X11 program a titkosított csatornán jön át, az igazi X szerverrel való kapcsolat pedig a lokális gépről jön létre. A felhasználónak nem kell kézzel beállítania a DISPLAY -t. Az X11 kapcsolatok forwardolásást a parancssoron vagy a konfigurációs fájlokban lehet beállítani.

Az ssh által beállított DISPLAY a szerver gépre mutat, de zérónál nagyobb display számmal. Ez azért van, mert az ssh egy "proxy" X szervert állít fel a szerver gépen a kapcsolatok titkosított csatornán való továbbításához.

Az ssh automatikusan beállítja a szerveren az Xauthority adatokat is. Ehhez egy véletlenszerű authorizációs cookie-t generál, amit a szerveren tárol az Xauthority-ban, ellenőrzi, hogy az összes forwardolt kapcsolat ezzel a cookie-val jön-e, és kicseréli őket az igazi cookie-ra, amikor a kapcsolat megnyílik. Az igazi authentikációs cookie-t soha nem küldi el a szerver gépre, és semmilyen cookie-t nem küld el titkosítás nélkül.

Ha egy felhasználó egy authentikációs közvetítőt (agent) használ, akkor a közvetítőhöz való kapcsolatot automatikusan forwardolja a távoli gépre, hacsak ez nincs letiltva a parancssoron vagy egy konfigurációs fájlban.

Tetszőleges TCP/IP kapcsolatoknak a biztonságos csatornán való forwardolását a parancssoron vagy egy konfigurációs fájlban lehet megadni. A TCP/IP forwardolásnak egy lehetséges alkalmazása egy elektronikus pénztárcához való biztonságos kapcsolódás; egy másik a tűzfalakon való átjutás.

Az ssh automatikusan fenntart és ellenőriz egy adatbázist, amely tartalmazza az összes olyan gép RSA-alapú azonosítását, amellyel valaha is használva volt. Az adatbázis az . ssh/known_hosts -ban van, a felhasználó home könyvtárában. Ezen kívül az ismert gépeket az /etc/ssh/ssh_known_hosts -ban is leellenőrzi. Minden új gép automatikusan hozzáadódik a felhasználó fájljához. Ha egy gép nyilvános kulcsa megváltozik, az ssh figyelmeztet és megtiltja a jelszóval való belépést, nehogy a felhasználó jelszavát egy "trójai faló" lopja el. Ennek a mechanizmusnak egy másik célja a "középen a támadó" (man-in-the-middle attack) megakadályozása, amely egyébként meghiúsítaná a titkosítást. A StrictHostKeyChecking opciót (lásd az alábbiakban) lehet arra használni, hogy megakadályozzuk az olyan gépre való belépést, amelyeknek a kulcsa nem ismert vagy megváltozott.

OPCÍÓK

−a

Megtiltja az authentikációs közvetítő (agent) forwardolását. Ezt egy gépektől függő módon a konfigurációs fájlban is meg lehet adni.

A session titkosításának a módját adja meg. Az idea az alapértelmezett. Biztonságosnak tartják. A des az adattitkosítási szabvány (data encryption standard), de feltörhető a kormányzatok, nagyobb vállalatok és a fontosabb bűnüldoző szervek által. A 3des (triple-des) egy titkosítás-visszafejtés-titkosítás három különboző kulcsal. Valószínűleg biztonságosabb mint a DES. Ez az alapértelmezett, ha valamelyik oldal nem támogatja az IDEA-t. A blowfish Bruce Schneier által kitalált titkosítási algoritmus, ami 128 bites kulcsokat használ. Az arcfour egy 1995-ben az Usenet News-ben publikált algoritmus. Úgy tartják, hogy ez ugyanaz mint az RSA Data Security által használt RC4 titkosítás (az RC4 az RSA Data Security bejegyzett védjegye). Ez a jelenleg támogatott leggyorsabb algoritmus. none esetén egyáltalán nincs titkosítás - ezt csak hibakeresésre szánták, és a kapcsolat nem biztonságos.

−e ch|^ch|none

Beállítja a pty-vel rendelkező session-ök számára az escape karaktert (alapértelmezett: ~). Ez csak a sor elején számít escape karakternek. A pont által követett escape karakter bezárja a kapcsolatot, a control-Z által követve felfüggeszti a kapcsolatot, és önmaga által követve egyszer küldi el az escape karaktert. A karakternek a ´none´ -ra való állítása letilt minden escape-t és teljesen átlászóvá teszi a session-t.

−f

A háttérbe teszi az ssh -t az authentikáció befejezése és a forwardolások létrehozása után. Ez hasznos ha az ssh jelszót vagy jelmondatot (passphrase) kér, de a felhasználó a háttérben akarja futtatni. Szkriptekben is hasznos lehet. Ez az opció a −n opciót is magában foglalja. A távoli gépeken levő X11 programok elindításának az ajánlott módja valami "ssh -f gép xterm" szerű.

−i identity_fájl

Megadja, hogy melyik fájlból legyen kiolvasva a privát kulcs az RSA authentikációhoz. Az alapértelmezett a . ssh/identity a felhasználó home könyvtárában. Identity fájlokat gépektől függő módon a konfigurációs fájlokban is meg lehet adni. Lehetséges több −i opciót is megadni (és a konfigurációs fájlokban is lehet több privát kulcs).

−k

Letiltja a kerberos ticket-ek forwardolását. Ezt szintén meg lehet adni gépektől függő módon a konfigurációs fájlokban is.

-l login_name

Meghatározza, hogy milyen felhasználói néven lépjen be a távoli gépre. Ezt szintén meg lehet adni gépektől függő módon a konfigurációs fájlokban is.

−n

A /dev/null -ból irányítja át a stdin-t (vagyis gyakorlatilag megakadályozza a stdin-ról való olvasást) Ezt használni kell, amikor az ssh a háttérben fut. Egy szokásos trükk ezt a távoli gépen levő X11 programok futtatására használni. Például "ssh -n shadows.cs.hut.fi emacs &" egy emacs-ot indít el a shadows.cs.hut.fi -n, és a X11 kapcsolat automatikusan forwardolódik a titkosított csatornán. Az ssh program a háttérbe kerül. (Ez nem működik, ha az ssh -nak jelszóra vagy jelmondatra van szüksége; erre lásd az -f opciót.)

−o ’opciók’

Ezt arra lehet használni, hogy a konfigurációs fájlok formátumában adjunk meg opciókat. Ez olyan opciók esetén hasznos, amelyeknek nincs külön parancssoron használható flag-jük. Az így megadott opcióknak ugyanaz a formátumuk mint egy konfigurációs fájl-beli sornak.

−p port

Megadja, hogy a távoli gép melyik portjára csatlakozzunk. Ezt szintén meg lehet adni gépektől függő módon a konfigurációs fájlokban is.

	−q		Csendes (quiet) üzemmód. Ilyenkor a figyelmeztetések és a diagnosztikai üzenetek nem íródnak ki, csak a végzetes hibák.
	−P		Nem privilégizált portot használ. Ilyenkor nem tudod az rhosts vagy a rsarhosts authentikációt használni, de át tud menni olyan tűzfalakon, amelyek nem engednek át privilégizált forrás-portról induló csomagokat.
	−t		Kényszeríti a pseudo-tty lefoglalást. Ezt például távoli gépeken futó képernyő-alapú programok futtatására lehet használni (például amelyek menüket használnak).
	−v		Bőbeszédő (verbose) üzemmód. Ilyenkor az ssh debugging üzeneteket ír ki a működéséről. Ez a kapcsolatfelépítéssel, authentikációval és a konfigurációval kapcsolatos problémák hibakeresésénél hasznos.
	−V		Csak kiírja a verziószámot és kilép.
	−g		Megengedi, hogy távoli gépek lokális port-forwardoló portokra kapcsolódjanak. Alapértelmezés szerint csak a localhostról lehet a lokálisan lekötött (bind) portokra csatlakozni.
	−x		Letiltja az X11 forwardolást. Ezt szintén meg lehet adni gépektől függő módon a konfigurációs fájlokban is.
	−C		Az összes adat (beleértve a stdin-t, stdout-ot, stderr-t és a forwardolt X11 és TCP/IP kapcsolatokat) tömörítve lesz. A tömörítési algoritmus ugyanaz mint a gzip által használt, és a "szintjét" a CompressionLevel opcióval (lásd alább) lehet beállítani. A tömörítés hasznos modemvonalakon és egyéb lassú kapcsolatok esetén, de a gyors hálózatok esetén csak lassítani fogja a dolgokat. Ezt szintén meg lehet adni gépektől függő módon a konfigurációs fájlokban is, lásd a Compress opciót alább.

−L port:host:hostport

Forwardol egy adott portot a lokális (kliens) gépről egy távoli gépre. Ez úgy működik, hogy lefoglal egy socket-et, hogy a port -on várakozzon (listen) a lokális oldalon, és valahányszor egy kapcsolat jön erre a portra, azt a biztonságos csatornán keresztül forwardolja, és a host:hostport -re a távoli gépről lép be. A port-forwardolást a konfigurációs fájlban is specifikálni lehet. Csak a root forwardolhat privilégizált portokat.

−R port:host:hostport

Forwardol egy adott portot a távoli (szerver) gépről egy lokális gépre. Ez úgy működik, hogy lefoglal egy socket-et, hogy a port -on várakozzon (listen) a távoli oldalon, és valahányszor egy kapcsolat jön erre a portra, azt a biztonságos csatornán keresztül forwardolja, és a host:hostport -re a lokális gépről lép be. A port-forwardolást a konfigurációs fájlban is specifikálni lehet. A távoli gépen rootként kell belépnünk, ha privilégizált portokat akarunk forwardolni.

KONFIGURÁCIÓS FÁJLOK

Az ssh a következő forrásokból veszi a konfigurácós adatait (ebben a sorrendben): parancssorbeli opciók, felhasználó konfigurációs fájlai ($HOME/ . ssh/config), és a renszerszintű konfigurációs fájl (/etc/ssh/ssh_config). Minden paraméter az így kapott első értéket kapja. A konfigurációs fájlok "Host" specifikációk által behatárolt részeket tartalmaznak, és egy adott rész csak azokra a gépekre vonatkozik, amelyek illeszkednek a specifikációban megadott mintára. A parancssoron megadott gépnév kerül illesztésre.

Mivel minden paraméter az első értéket kapja, az inkább egy adott gépre specifikus deklarációkat a fájl elején érdemes megadni, az általánosabb default-okat pedig a végén.

A konfigurációs fájlnak a következő formátuma van:

Az üres sorok és a ´#´ -el kezdődő sorok megjegyzések.

Egyébként pedig egy sor formátuma "kulcsszó argumentumok" vagy "kulcsszó = argumentumok". A lehetséges kulcsszavakat és a jelentésüket lásd az alábbiakban (megjegyzés: a konfigurációs fájlokban különbség van a kisbetű és a nagybetű közott, de a kulcsszavaknál ez nem számít):

Host

Az ezt követő deklarációkat korlátozza, hogy csak a kulcsszó után következő mintára illeszkedő gépnevekre legyen érvényes (egészen a következő Host kulcsszóig). A ´*´ és a ´?´ wildcard-ként használható a mintákban. Ha a minta egyetlen ´*´ -ből áll, akkor az az összes gépre vonatkozó globális defaultot jelent. A gépnév ilyenkor a parancssoron megadott hostname argumentum (vagyis a név nincs kanonikus alakba hozva az illeszkedésvizsgálat előtt).

BatchMode

Ha ez "yes" -re van állítva, akkor a jelszó/jelmondat megkérdezése letiltódik. Ezt akkor hasznos, ha szkriptekből vagy egyéb automatizált eszközökből hívod, és nincs felhasználó, aki megadhatná a jelszót. Az argumentum "yes" vagy "no" kell legyen.

Cipher

Meghatározza a session titkosításához használat módszert. Jelenleg az idea, des, 3des, blowfish, arcfour és none vannal támogatva. A alapértelmezett az "idea" (vagy a "3des" ha az "idea"-t nem támogatja mindkét gép). A "none" esetén nincs titkosítás - ezt csak hibakeresésre szabad használni, mert ilyenkor a kapcsolat nem biztonságos.

ClearAllForwardings

Kitörli az összes forwardolást, miután beolvasta az összes konfigurációs fájlt, és a parancssort is. Ez arra jó, hogy a konfigurációs fájlokban található forwardolásokat letiltsd, amikor egy második kapcsolatot akarsz létrehozni egy olyan géppel, amelynek a konfigurációs fájlában a forwardolás be van állítva. Az scp ezt alapértelmezés szerint beállítja, így működni fog még akkor is, ha a konfigurációs fájban forwardolások vannak beállítva.

Compression

Meghatározza hogy legyen-e tömörítés használva. Az argumentum "yes" vagy "no" kell legyen.

CompressionLevel

Meghatározza a tömörítés szintjét, ha a tömörítés engedélyezve van. Az argumentum egy 1 (gyors) és 9 (lassú, de a legjobb) közötti szám kell legyen. Az alapértelmezett szint 6, ami jó a legtöbb alkalmazás szempotjából. Ezeknek az értékeknek a jelentése ugyanaz, mint a GNU GZIP esetén.

ConnectionAttempts

Meghatározza, hogy hányszor próbálkozzon (másodpercenként egyszer), mielőtt az rsh-val próbálkozna, vagy kilépne. Az argumentum egy egész szám kell legyen. Ez hasznos lehet szkriptekben, ha a kapcsolatfelvétel néha nem sikerül.

EscapeChar

Beállítja az escape karaktert (az alapértelmezett: ~). Az escape karaktert a parancssoron is be lehet állítani. Az argumentum egy betű által követett ´^´ kell legyen, vagy ’’none’’, hogy az escape karaktert teljesen letiltsuk (és így a kapcsolatot átlátszóvá tegyük a bináris adatok számára)

FallBackToRsh

Meghatározza, hogy ha az ssh kapcsolat nem sikerül "connection refused" hiba miatt (amit valószínüleg az okoz, hogy a másik gépen nem fut az sshd ), akkor az rsh legyen-e használva automatikusan helyette (egy megfelelő figyelmeztetés után, mely szerint a session nem lesz titkosítva). Az argumentum "yes" vagy "no" kell legyen.

ForwardAgent

Meghatározza, hogy egy authentikációs közvetítővel való kapcsolat (ha van) forwardolva legyen-e a távoli gépre. Az argumentum "yes" vagy "no" kell legyen.

ForwardX11

Meghatározza , hogy az X11 kapcsolatok automatikusan át legyenek-e irányítva a biztonságos csatornára a DISPLAY beállításával egyidejűleg. Az argumentum "yes" vagy "no" kell legyen.

GatewayPorts

Meghatározza, hogy távoli gépek kapcsolódhatnak-e a lokálisan forwardolt portokra. Az argumentum "yes" vagy "no" kell legyen.

GlobalKnownHostsFile

Meghatározza, hogy a /etc/ssh/ssh_known_hosts helyett melyik fájl legyen használva.

HostName

Meghatátozza annak a gépnek az igazi nevét, amelyikre be akarunk lépni. Ez arra jó, hogy rövidített neveket használjunk. A default a parancssoron megadott név. A numerikus IP címek szintén engedélyezve vannak (a parancssoron is, és a HostName specifikációkban is).

IdentityFile

Meghatározza, hogy a felhasználó RSA authentikációs kulcsa melyik fájlból legyen kiolvasva (az alapértelmezett az . ssh/identity a felhasználó home könyvtárában). Ezenkívül egy esetleges authentikációs közvetítő által megadott identitások is felhasználódnak. A fájl neve tertalmazhatja a tildét, hogy a felhasználó home könyvtárát jelezze. Több identitás-fájlt is meg lehet adni a konfigurációs fájlokban, ilyenkor ezek az adott sorrendben lesznek kipróbálva.

KeepAlive

Meghatározza, hogy a rendszer küldjön-e "maradj élve" (keepalive) üzeneteket a túloldalnak. Ha küld, akkor a kapcsolat megszünése, vagy a gépek egyikének a meghalása megfelelően észlelődik. Ugyanakkor ez azt is jelenti, hogy a kapcsolatok megszakadnak akkor is ha a hálózat csak ideiglenesen nem működik, és van aki ezt idegesítőnek tartja.

A alapértelmezett az hogy "yes" (küldjön ilyeneket), és a kliens észre fogja venni ha a szerver vagy a hálózat lehal. Ez fontos a scriptekben, és sok felhasználó szintén szereti.

A keepalives-ek letiltásához ezt az értéket "no"-ra kell állítani mind a szerver, mind a kliens konfigurációs fájljaiban.

KerberosAuthentication

Meghatározza, hogy legyen-e Kerberos V5 authentikáció használva.

KerberosTgtPassing

Meghatározza, hogy legyen-e egy Kerberos V5 TGT a szervernek elküldve.

LocalForward

Azt állítja be, hogy egy lokális TCP/IP port forwardolva legyen a biztonságos csatornán keresztül a megadott gép megadott portjára. Az első argumentum egy portszám kell legyen, a második meg egy gép:port. Egyszerre több forwardolást is be lehet állítani, és további forwardolásokat lehet a parancssoron hozzáadni. Privilégizált portokat csak a root forwadolhat.

NumberOfPasswordPrompts

Meghatározza, hogy az ssh hányszor kérje el a jelszót mielőtt feladná. Mivel a szerver szintén limitálja a próbálkozások számát (jelenleg 5 a maximum), ezért hatástalan ennél nagyobb értékre állítani. Az alapértelmezett érték egy.

PasswordAuthentication

Meghatározza legyen-e jelszó-authentikáció használva. Az argumentum "yes" vagy "no" kell legyen.

PasswordPromptHost

Meghatározza, hogy benne legyen-e a távoli gép neve a jelszó promptban. Az argumentum "yes" vagy "no" kell legyen.

PasswordPromptLogin

Meghatározza, hogy benne legyen-e a távoli login név a jelszó promptban. Az argumentum "yes" vagy "no" kell legyen.

Port

Meghatározza, hogy a távoli gépen milyen porton probálkozzon. A default 22.

ProxyCommand

Meghatározza, hogy milyen parancs segítségével kapcsolódjunk egy szerverre. A parancs-string a sor végéig tart, a /bin/sh hajtja végre. A parancs-stringben a %h helyére a szerver gép neve kerül, %p helyére pedig a portszám. A parancs szinte bármi lehet, a stdin-ről kell olvasnia, és a stdout-re írnia. Végül egy valamilyen gépen futó sshd szerverre kell kapcsolódnia, vagy "sshd -i" -t kell futtatnia valahol. A gép-kulcs kezelése a szerver gép HostName-ja segítségével (aminak a defaultja a felhasználó által beírt név) történik. (Megjegyzés: az ssh -t lehet úgy konfigurálni, hogy a SOCKS rendszert támogassa: ehhez fordításkor a --with-socks4 vagy --with-socks5 opciókat kell megadni).

RemoteForward

Azt állítja be, hogy egy távoli TCP/IP port forwardolva legyen a biztonságos csatornán keresztül a megadott lokális gép megadott portjára. Az első argumentum egy portszám kell legyen, a második meg egy gép:port. Egyszerre több forwardolást is be lehet állítani, és további forwardolásokat lehet a parancssoron hozzáadni. Privilégizált portokat csak a root forwadolhat.

RhostsAuthentication

Meghatározza, hogy az rhosts authentikáció ki legyen-e próbálva. Megjegyzés: ez a deklaráció csak a kliens viselkedését befolyásolja, és a biztonságra semmi hatása nincs. Az rhosts authentikációval való próbálkozás letiltása csökkentheti az authentikációs időt lassú kapcsolatok esetén, ha az rhosts authentikáció nincs használatban. A legtöbb szerver nem engedélyezi az az rhosts authentikációt, mert az nem biztonságos (lásd RhostsRSAAuthentication) Az argumentum "yes" vagy "no" kell legyen.

RhostsRSAAuthentication

Meghatározza, hogy az RSA gép-authentikációval kombinált rhosts authentikáció ki legyen-e próbálva. Ez az elsődleges authentikációs módszer a legtöbb esetben. Az argumentum "yes" vagy "no" kell legyen.

RSAAuthentication

Meghatározza, hogy az RSA authentikáció ki legyen-e próbálva. Az argumentum "yes" vagy "no" kell legyen. Az RSA authentikáció csak akkor lesz megpróbálva, ha egy identity fájl létezik, vagy ha egy authentikációs közvetítő fut.

StrictHostKeyChecking

Ha ez a flag "yes" - re van állítva, akkor az ssh soha nem fogja a gép-kulcsokat a $HOME/.ssh/known_hosts fájlhoz automatikusan hozzáadni, és megtagadja, hogy olyan gépekre lépjen be, amelyeknek a kulcsa megváltozott. Ez maximális védelmet nyújt a trójai faló típusú támadások ellen. Ugyanakkor eléggé idegesítő tud lenni, ha nincs egy jó /etc/ssh/ssh_known_hosts fájlod installálva és gyakran próbálsz új gépekre kapcsolódni. Gyakorlatilag ez az opció arra kényszeríti a felhasználót, hogy kézzel adja hozzá az összes új gépet. Általában "ask"-ra állítják ezt az opciót, és az új gépek automatikusan hozzáadódnak az ismert gépeket tartalmazó fájlhoz, miután a felhasználó megerősítette, hogy valóban ezt akarja. Ha ez "no"-ra van állítva, akkor az új gépek automatikusan adódnak hozzá az ismert gépeket tartalmazó fájlhoz. Az ismert gépek kulcsai minden esetben automatikusan ellenőrizve lesznek. Az argumentum "yes", "no" vagy "ask" kell legyen.

TISAuthentication

Meghatározza, hogy megpróbálkozzunk-e TIS authentikációval. Az argumentum "yes" vagy "no" kell legyen.

UsePrivilegedPort

Meghatározza, hogy használjunk-e privilégizált portokat, amikor a másik oldalhoz hozzákapcsolódunk. Az alapértelmezett az, hogy "yes", ha az rhosts authentikációk engedélyezve vannak.

User

Meghatározza, hogy milyen felhasználóként lépjen be. Ez akkor lehet hasznos, ha a különböző gépeken más-más a felhasználói neved, és nem akarod azzal veszíteni az időt, hogy a parancssoron adod meg a felhasználói nevet.

UserKnownHostsFile

Meghatározza, hogy a $HOME/ . ssh/known_hosts helyett milyen fájlt használjunk.

UseRsh

Meghatározza, hogy egy adott gépre rögtön az rlogin/rsh legyen-e használva. Előfordulhat, hogy egy gép egyáltalán nem támogatja az ssh protokollt. Ilyenkor ssh rögtön elindítja az rsh -t. Az összes többi opció (kivéve a HostName-t) ignorálva lesz. Az argumentum "yes" vagy "no" kell legyen.

XAuthLocation

Meghatározza a elérési utat a xauth programhoz.

KÖRNYEZET

Az ssh normális esetben a következő környezeti változókat állítja be:
DISPLAY

A DISPLAY változó az X11 szerver helyére utal. Ezt az ssh automatikusan egy "gépnév:n" alakra állítja be, ahol a gépnév annak a gépnek a neve, ahol a shell fut, és n egy >= 1 egész szám. Az ssh ezt arra használja, hogy az X11 kapcsolatokat a biztonságos csatornán forwadolja. Jobb, ha a felhasználó nem állítja be maga a DISPLAY-t expliciten, mert ez azt eredményezi, hogy az X11 kapcsolat nem lesz biztonságos. (és a felhasználó kénytelen lesz magának bemásolni a szükséges authorizációs cookie-kat).

HOME

A felhasználó home könyvtára.

LOGNAME

Az USER szinonimája - az olyan rendszerekkel való kompatibilitás céljából, amelyek ezt a változót használják.

	MAIL		A felhasználó mailbox-a.
	PATH		Egy olyan alapértelmezett PATH-ra van beállítva, amelyet fordítás közben lehet megadni az ssh -nak, vagy egyes rendszerekben az /etc/environment -ban vagy az /etc/default/login -ban.

SSH_AUTH_SOCK

Ha létezik, arra van használva, hogy egy olyan unix-domain sockethez vezető path-ot jelezzen, ami egy authentikációs közvetítővel (avgy lokális megfelelőjével) való kapcsolathoz kell.

SSH_CLIENT

A kapcsolat kliens részét jelzi. Ez a változó három space-el határolt értéket tartalmaz: kliens ip-cím, kliens portszám és szerver portszám.

SSH_ORIGINAL_COMMAND

Ez az eredeti parancssor kényszerített parancsfuttatás esetén. Arra lehet használni, hogy elérd az argumentumokat stb. a túloldalról.

SSH_TTY

Ez a jelenlegi shellel vagy parancsal társított tty nevére (egy eszközhöz vezető útvonalra) van állítva. Ha a jelenlegi session-nak nincs tty-je, ez a változó nincs beálítva.

	TZ		Az időzóna (timezone) változó a jelenlegi időzónát jelzi, ha az be volt állítva a démon indításakor. (A démon átadja ezt az értéket az új kapcsolatoknak.)
	USER		A belépett felhasználó neve.

Ezeken kívül az ssh elolvassa az /etc/environment és $HOME/.ssh/environment, fájlokat, és VÁLTOZÓNÉV=érték formátumú sorokat ad a környezethez. Egyes rendszereken további mechanizmusok is létezhetnek a környezet beállítására, így például az /etc/default/login Solaris-on.

FÁJLOK

$HOME/ . ssh/known_hosts

Olyan gépek kulcsai, amelyikbe a felhasználó belépett (és nincsenek benne a /etc/ssh/ssh_known_hosts -ban). Lásd még az sshd kézikönyvlapot.

$HOME/ . ssh/random_seed

A véletlenszám-generátor inicializálásához használt fájl. Ez a fájl fontos adatokat tartalmaz, a felhasználónak legyen írási/olvasási joga rá, de másoknak semmi. Ez a fájl akkor keletkezik, amikor egy program első ízben fut, és automatikusan változik. A felhasználónak sohasem kell elolvasnia vagy módódítania ezt a fájlt.

$HOME/ . ssh/identity

A felhasználó RSA authentikációs identitását tartalmazza. Ez a fájl fontos adatokat tartalmaz, a felhasználónak legyen írási/olvasási joga rá, de másoknak semmi. Ennek a kulcsnak a generálásákor egy jelmondatot is meg lehet adni, ez a jelmondat arra használható, hogy ennek a fájlnak az érzékeny részét titkosítsa az IDEA segítségével

$HOME/ . ssh/identity.pub

Az authentikációra használt nyilvános kulcsot tartalmazza (az identitás-fájl nyilvános részét olvasható formában) ennek a fájlnak a tartalmát a $HOME/ . ssh/authorized_keys fájlhoz kell hozzáadni minden olyan gépen, amelyikre RSA authentikáció segítségével akarsz belépni. Ez a fájl nem érzékeny, és lehet (de nem szükségszerű) mindenki által olvashatóvá tenni. Ezt a fájlt soha nem használják automatikusan, és nincs is szükség rá, csak a felhasználó kényelme kedvéért van ott.

$HOME/ . ssh/config

Ez a konfigurációs fájl a felhasználóra jellemző beállításokat tartalmazza. A fájl formátuma a fentiekben van leírva. Ezt a fájlt az ssh kliensek használják. Általában ez a fájl nem tartalmaz érzékeny információkat, de az ajánlott jogosultságok írás/olvasás a felhasználónak, és semmi jog másoknak.

$HOME/ . ssh/authorized_keys

Azokat az RSA kulcsokat tartalmazza, amelyek használhatók arra, hogy segítségével e felhasználóként be lehessen lépni. Ennek a fájlnak a formátuma az sshd kézikönyvlapban van leírva. Legegyszerűbb esetben a formátum ugyanaz mint a .pub identitás fájlok esetén.

Ez a fájl nem tartalmaz nagyon érzékeny információkat, de az ajánlott jogosultságok írás/olvasás a felhasználónak, és semmi jog másoknak.

/etc/ssh/ssh_known_hosts

Az ismert gépek kulcsainak rendszerszintű listája. Ezt a fájlt a rendszergazdának kell elkészítenie, hogy a hálózaton belüli összes gép nyilvános kulcsát tartalmazza. Ennek a fájlnak mindenki által olvashatónak kell lennie. Ha egy gépnek több neve is van, akkor az összes ilyen gépnevet fel kell sorolni, vesszővel elválasztva. A formátumot az sshd kézikönyvlap írja le.

Belépéskor a kanonikus gépnév (amit a nameserver visszaad) az, amit az sshd a kliens gép identitásának a megállapítására használ belépéskor; a többi névre azért van szükség, mert az ssh nem konvertálja a felhasználó által megadott nevet kanonikus névvé, mielőtt egy kulcsot ellenőrizne, mivel egyébként valaki, aki hozzáfér a nameserver-hez, átverhetné a gép-authentikációt.

/etc/ssh/ssh_config

A rendszerszintű konfigurációs fájl. Ez a fájl defaultokat specifikál olyan értékek számára, amelyek nincsenek a felhasználó konfigurációs fájljában, vagy olyan felhasználóknak, akiknek nincs konfigurációs fájljuk. Ennek a fájlnak mindenki által olvashatónak kell lennie.

$HOME/ . rhosts

Ez a fájl az . rhosts authentikáció során van használva, mégpedig arra, hogy felsorolja azokat a gép/felhasználó párokat, amelyeknek a belépés engedélyezve van. (Megjegyzés: ezt a fájlt használja az rlogin és az rsh is, ezért használatuk nem számít biztonságosnak) A fájl minden sora tartalmaz egy gépnevet (abban a kanonikus formában, ahogy a nameserverek adják), utána pedig egy azon a gépen található felhasználó felhasználói nevét, vesszővel elválasztva. Ennek a fájlnak a felhasználó tulajdonában kell lennie, és nem szabad másoknak is írási jogot adni rá.

Megjegyzés: alapértelmezés szerint az sshd sikeres RSA gép-authentikációt igényel mielőtt megengedné az . rhosts authentikációt. Ha egy szerver géped nem tartalmazza egy kliens gép kulcsát az /etc/ssh/ssh_known_hosts -ben, akkor az $HOME/ . ssh/known_hosts -be is teheted. A legegyszerűbb módja ennek az, hogy a szerverről belépsz a kliensre, ekkor a kliens gép kulcsa automatikusan hozzáadódik a $HOME/ . ssh/known_hosts -hoz.

$HOME/ . shosts

Ezt a fájlt pontosan ugyanúgy kell használni mint a . rhosts -t. Csak azért van, hogy képes legyél az rhosts authentikációt használni az ssh -val, anélkül, hogy megenged az rlogin-t vagy az rsh-t.

/etc/hosts.equiv

Ez a fájl az . rhosts authentikáció során van használva. Kanonikus gépneveket tartalmaz, soronként egyet (a formátum teljes leírását lásd az sshd kézikönyvlapban). Ha egy kliens gép benne van ebben a fájlban, és a login nevek a szerveren és a kliensen megegyeznek, akkor a belépés automatikusan engedélyezve lesz. Ezen kívül sikeres RSA gép-authentikációra is szükség van normális esetben. Ennek a fájlnak csak a root által kell írhatónak lennie.

/etc/ssh/shosts.equiv

Ez a fájl pontosan úgy van feldolgozva, mint a /etc/hosts.equiv. Arra jó, hogy megengedje az ssh belépéseket, de megtiltsa az rsh/rlogin belépéseket.

/etc/ssh/sshrc

Az ebben a fájlban található parancsok akkor hajtódnak végre az ssh által, amikor felhasználó belép, közvetlenül azelőtt, hogy a felhasználó shellje (vagy parancsa) elindulna. Lásd az sshd kézikönyvlapot további információkért.

$HOME/.ssh/rc

Az ebben a fájlban található parancsok akkor lesznek végrehajtva az ssh által, amikor felhasználó belép, közvetlenül azelőtt, hogy a felhasználó shellje (vagy parancsa) elindulna. Lásd az sshd kézikönyvlapot további információkért.

INSTALLÁLÁS

Az ssh általában suid rootként van felinstallálva. A root jogokra csak az rhosts authentikáció miatt van szüksége (Az rhosts authentikáció azt igényli, hogy a kapcsolat egy privilégizált portról kezdeményeződjön, és ilyen portot csak root jogokkal lehet lefoglalni) Ezen kívül képesnek kell lennie arra, hogy a /etc/ssh/ssh_host_key -t elolvassa, hogy RSA gép authentikációt tudjon használni. Lehetséges az ssh -t root jogok nélkül használni, de akkor az rhosts authentikációt nem lehet használni. Az ssh eldobja az összes extra jogot, amint a kapcsolat a távoli géppel létrejött.

Mindent megtettünk azért, hogy az ssh biztonságos legyen. Ha ennek ellenére biztonsági problémát találsz, kérjük rögtön értesíts minket az <ssh-bugs [AT] cs.fi> címen.

Manpages

NÉV