SSH-kättely ja isäntäavaintodennus

SSH alkaa TCP-yhteydellä porttiin 22. Kun yhteys on muodostettu, asiakas ja palvelin vaihtavat version merkkijonot, kuten SSH-2.0-OpenSSH_9.3, joka ilmaisee protokollaversion ja toteutuksen. Tämä versioiden vaihto antaa molemmille osapuolille mahdollisuuden varmistaa yhteensopivuus ennen etenemistä.

Versioiden vaihdon jälkeen molemmat osapuolet lähettävät SSH_MSG_KEXINIT-paketteja, joissa luetellaan niiden tukemat algoritmit. Luettelot kattavat avaimenvaihtomenetelmät, isäntäavaintyypit, symmetriset salausalgoritmit, MAC-algoritmit ja pakkauksen. Molempien luetteloiden leikkaus määrittää istunnossa käytettävät algoritmit.

Istuntoavain muodostetaan käyttämällä avaimenvaihtoalgoritmia, kuten Diffie-Hellmania tai ECDH:ta. Asiakas ja palvelin luovat kumpikin lyhytikäiset avainparit, vaihtavat julkiset arvot ja laskevat toisistaan riippumatta saman jaetun salaisuuden. Tämä jaettu salaisuus toimii istuntoavaimen johtamisen siemenenä, eikä sitä koskaan lähetetä suoraan.

Palvelin todistaa henkilöllisyytensä allekirjoittamalla avaimenvaihdon tiivisteen isäntäavaimensa yksityisellä avaimella. Isäntäavain voi olla RSA-, ECDSA- tai moderni Ed25519-avain. Asiakas käyttää vastaavaa julkista avainta allekirjoituksen tarkistamiseen ja varmistaa näin olevansa yhteydessä aitoon palvelimeen eikä huijariin.

Kun uuteen palvelimeen muodostetaan yhteys ensimmäisen kerran, asiakas ei vielä tunne sen julkista isäntäavainta. SSH näyttää avaimen sormenjäljen ja pyytää käyttäjää hyväksymään sen. Tämä Trust On First Use -malli tallentaa avaimen known_hosts-tiedostoon ja havaitsee muutokset tulevilla yhteyksillä varoittaen mahdollisista man-in-the-middle-hyökkäyksistä.

Turvallisin tapa tarkistaa uuden palvelimen isäntäavain on käyttää erillistä viestintäkanavaa. Järjestelmänvalvoja voi lukea palvelimen sormenjäljen paikan päällä tai varmennetun suojatun kanavan kautta ja verrata sitä SSH-asiakasohjelman näyttämään sormenjälkeen. Näin estetään vilpillisen avaimen huomaamaton hyväksyminen ensimmäisellä yhteydellä.

known_hosts-tiedosto tallentaa rivejä muodossa: hostname algorithm base64-key. Jokainen merkintä edustaa luotetun palvelimen identiteettiä. Kun muodostatte yhteyden known_hosts-tiedostossa olevaan isäntään, SSH tarkistaa, että esitetty avain vastaa tallennettua avainta, ja kieltäytyy yhteydestä, jos avaimet eivät täsmää.

Avaimenvaihdon jälkeen molemmat osapuolet johtavat istuntoavaimet toisistaan riippumatta jaetun salaisuuden, avaimenvaihdon tiivisteen ja istuntotunnisteen avulla. Kullekin viestintäsuunnalle sekä salaukselle ja MAC-operaatioille johdetaan erilliset avaimet. Näin asiakas-palvelin-liikenteessä käytettävät avaimet eroavat palvelin-asiakas-liikenteen avaimista.

Kun istuntoavaimet on muodostettu, kaikki myöhempi SSH-viestintä salataan ja todennetaan. Neuvoteltu salausalgoritmi, kuten AES-256-GCM tai ChaCha20-Poly1305, suojaa luottamuksellisuutta, ja MAC varmistaa eheyden. Myös käyttäjänimi ja todennustiedot lähetetään tämän salatun tunnelin sisällä.

2048- tai 4096-bittiset RSA-isäntäavaimet ovat laajasti tuettuja, mutta hitaampia. NIST-käyriin perustuvat ECDSA-avaimet ovat nopeampia, mutta jotkut eivät luota NIST-käyrien parametreihin. Curve25519:een perustuvat Ed25519-avaimet ovat moderni suositus: ne ovat pieniä, nopeita ja vahvasti suojattuja eivätkä ole riippuvaisia NIST-käyrien parametreista. Useimmat nykyaikaiset SSH-palvelimet tarjoavat Ed25519:n oletusarvoisesti.

SSH-kättely koostuu seuraavista vaiheista: TCP-yhteyden muodostaminen, versioiden vaihto, algoritmien neuvottelu, istuntoavaimet muodostava avaimenvaihto, palvelimen isäntäavaimen tarkistus ja käyttäjän todennus. Kaikki versioiden vaihdon jälkeen tehtävät vaiheet tapahtuvat avaimenvaihtovaiheessa muodostetun salatun ja eheydeltä suojatun kanavan sisällä.

Tässä oppitunnissa: TCP muodostaa yhteyden portissa 22, version merkkijonot vaihdetaan, algoritmien neuvottelu valitsee salausalgoritmit ja avaimenvaihtomenetelmät, ECDH tai DH muodostaa jaetun salaisuuden, istuntoavaimet johdetaan erikseen kumpaakin suuntaa varten, palvelin todentaa itsensä isäntäavaimen allekirjoituksella ja asiakas tarkistaa avaimen known_hosts-tiedoston avulla TOFU-mallia käyttäen ensimmäisellä yhteydellä.