SSH 握手与主机密钥认证

SSH 首先会连接到端口 22，建立 TCP 连接。连接建立后，客户端和服务器会交换版本字符串，例如 SSH-2.0-OpenSSH_9.3，用于标识协议版本和实现版本。通过版本交换，双方可以在继续之前确认彼此兼容。

版本交换完成后，双方会发送 SSH_MSG_KEXINIT 数据包，其中列出各自支持的算法。这些列表涵盖密钥交换方法、主机密钥类型、对称加密算法、MAC 算法和压缩算法。两个列表的交集决定本次会话所选用的算法。

会话密钥通过 Diffie-Hellman 或 ECDH 等密钥交换算法建立。客户端和服务器分别生成临时密钥对，交换公开值，然后独立计算出相同的共享机密。这个共享机密会用于派生会话密钥，但其本身从不会直接传输。

服务器使用其主机私钥对密钥交换哈希值进行签名，以证明自己的身份。主机密钥可以采用 RSA、ECDSA 或现代的 Ed25519 格式。客户端使用相应的公钥验证该签名，从而确认通信对象是真正的服务器，而不是冒充者。

首次连接到新服务器时，客户端还不知道该服务器的主机公钥。SSH 会显示密钥指纹，并提示您接受它。这种首次使用时信任的模型会将密钥存储在 known_hosts 中，并在后续连接时检测密钥是否发生变化，同时警告可能存在的中间人攻击。

验证新服务器主机密钥最安全的方法，是通过带外信道进行核对。管理员可以当面读取服务器指纹，或通过经过验证的安全信道获取指纹，然后将其与 SSH 客户端显示的指纹进行比较。这样可以避免在首次连接时悄无声息地接受欺诈性密钥。

known_hosts 文件存储以下形式的行：hostname algorithm base64-key。每个条目代表一个受信任的服务器身份。当您连接到已存在于 known_hosts 中的主机时，SSH 会验证所提供的密钥是否与存储的密钥匹配；如果不匹配，则拒绝连接。

密钥交换完成后，双方会使用共享机密、交换哈希值和会话标识符，分别独立派生会话密钥。通信的每个方向，以及加密操作和 MAC 操作，都会使用分别派生的密钥。这意味着客户端到服务器方向的流量所用密钥，与服务器到客户端方向的密钥不同。

会话密钥建立后，后续所有 SSH 通信都会经过加密和身份验证。协商出的加密算法（例如 AES-256-GCM 或 ChaCha20-Poly1305）用于保护机密性，而 MAC 用于确保完整性。即使是用户名和身份验证凭据，也会在这个加密隧道中传输。

2048 位或 4096 位的 RSA 主机密钥获得广泛支持，但速度较慢。基于 NIST 曲线的 ECDSA 密钥速度更快，但有些人不信任 NIST 曲线参数。基于 Curve25519 的 Ed25519 密钥是现代推荐方案：密钥短小、速度快、安全性强，并且不依赖 NIST 曲线参数。大多数现代 SSH 服务器默认提供 Ed25519。

SSH 握手包括：建立 TCP 连接、交换版本、协商算法、通过密钥交换建立会话密钥、验证服务器主机密钥，以及进行用户身份验证。版本交换之后的所有步骤，都在由密钥交换阶段建立的加密且受完整性保护的信道中进行。

首次连接之后，客户端在后续连接中如何验证 SSH 服务器的主机密钥？

本课内容：TCP 在端口 22 上建立连接，双方交换版本字符串，算法协商选择加密算法和密钥交换方法，ECDH 或 DH 建立共享机密，双方分别为每个通信方向派生会话密钥，服务器使用主机密钥签名进行身份验证，客户端则在首次连接时采用 TOFU，并通过 known_hosts 进行验证。