Provided by: manpages-hu_20010119-6_all 
NÉV
ssh - biztonságos shell kliens (távoli gépre való belépésre szolgáló program)
ÁTTEKINTÉS
ssh [-l login_name] hostname [parancs]
ssh [-a] [-c idea|blowfish|des|3des|arcfour|none] [-e escape_char] [-i identity_fájl]
[-l login_name] [-n] [-k] [-V] [-o opciók] [-p port] [-q] [-P] [-t] [-v] [-x] [-C] [-g]
[-L port:host:hostport] [-R port:host:hostport] hostname [parancs]
LEÍRÁS
Az ssh (Secure Shell) egy program, ami arra való, hogy távoli gépekre jelentkezzünk be
és/vagy parancsokat hajtsunk végre távoli gépeken. Célja az, hogy helyettesítse az
rlogin-t és az rsh-t, és biztonságos (titkosított) kapcsolatot biztosítson két gép között.
X11 kapcsolatokat és tetszőleges TCP/IP portokat szintén lehet a biztonságos csatornára
továbbítani (forwardolni).
Az ssh kapcsolódik és belép a megadott hostname gépre. A felhasználó több módszerrel is
igazolhatja azonosságát.
Előszor is, ha az a gép, amelyről a felhasználó belép fel van sorolva az /etc/hosts.equiv
-ban vagy az /etc/ssh/shosts.equiv -ban a távoli gépen, és a felhasználói nevek
megegyeznek mindkét oldalon, akkor rögtön beengedik. Másodszor, ha a .rhosts vagy a
.shosts fájl ott van a felhasználó home könyvtárában a távoli gépen és tartalmaz egy sort,
amely a kliens gép nevét tartalmazza, a felhasználó beléphet. Az authentikációnak
(authentication - hitelesítés, amikor bizonyítod, hogy az vagy, akinek mondod magad - a
ford. megjegyzése) ezt a formáját általában nem engedélyezi a szerver, mert nem
biztonságos.
A második (és elsődleges) lehetőség az authentikációra az rhosts vagy hosts.equiv módszer,
RSA-alapú gép-authentikációval kombinálva. Ez azt jelenti, hogy a belépés csak akkor
engedélyezett, ha az .rhosts, .shosts, /etc/hosts.equiv, vagy /etc/ssh/shosts.equiv,
megengedi, és ezen kívül a kliens gép kulcsát ellenőrizni lehet (lásd a
$HOME/.ssh/known_hosts és /etc/ssh/ssh_known_hosts -t a FÁJLOK részben). Ez az
authentikációs módszer kizárja az "IP spoofing", "DNS spoofing" és a "routing spoofing"
által kihasznált biztonsági lyukakat. [Megjegyzés a rendszergazdáknak: az
/etc/hosts.equiv, .rhosts, és a rlogin/rsh protokollok általában eredendően nem
biztonságosak és le kell tiltani őket, ha a biztonság fontos szempont.]
Harmadik authentikációs módszerként az ssh támogatja az RSA alapú authentikációt. Az
elrendezés a nyilvános kulcsú kriptográfián alapul: vannak olyan titkosítási rendszerek,
ahol a titkosítás és visszafejtés különböző kulcsok használatával történik, és a
visszafejtéshez használt kulcsot nem lehet a titkosításhoz használt kulcsból
kikövetkeztetni. Az RSA egy ilyen rendszer. Az elgondolás az, hogy minden felhasználó
készít egy nyilvános/privát kulcspárt authentikációs célokra. A szerver tudja a nyilvános
kulcsot, de a privát kulcsot csak a felhasználó ismeri. A $HOME/.ssh/authorized_keys fájl
tartalmazza azokat a nyilvános kulcsokat, amelyekkel be lehet lépni. Amikor a felhasználó
be akar lépni, az ssh program megmondja a szervernek, hogy melyik kulcspárt akarja
authentikációra felhasználni. A szerver ellenőrzi, hogy a kulcs engedélyezve van-e, és ha
igen, akkor úgy teszi próbára a felhasználót (pontosabban az általa futtatott ssh
programot), hogy egy véletlen számot küld el neki, amit a felhasználó nyilvános kulcsával
titkosít. Ezt csak a megfelelő privát kulcs segítségével lehet visszafejteni. Ezután a
felhasználó kliense visszafejti a privát kulcsal, így bebizonyítja, hogy ismeri a a privát
kulcsot anélkül, hogy azt elküldené a szervernek.
Az ssh automatikusan alkalmazza az RSA authentikációs protokollt. A felhasználó az ssh-
keygen(1) futattásával automatikusan létrehozza az ő RSA kulcspárját. Ezzel a privát
kulcs a .ssh/identity -ba kerül, míg a nyilvános kulcs a .ssh/identity.pub -ba, a
felhasználó home könyvtárában. A felhasználónak ezután a saját identity.pub -ját a
.ssh/authorized_keys -ba kell másolnia a home könyvtárában a távoli gépen (az
authorized_keys fájl megfelelt a hagyományos .rhosts fájlnak, és soronként egy kulcsot
tartalmaz, bár a sorok nagyon hosszúak lehetnek). Ezután a felhasználó beléphet, anélkül
hogy a jelszavát megadná. Az RSA authentikáció sokkal biztonságosabb mint az rhosts
authentikáció.
Az RSA authentikáció egy authentikációs közvetítő (agent) segítségével használható a
legkényelmesebben. Lásd az ssh-agent(1) -et további információkért.
Egy negyedik authentikációs módszerként, az ssh támogatja a TIS authentikációs szerveren
keresztüli authentikációt. Az elképzelés az, hogy az ssh megkéri a TIS authsrv(8) -et,
hogy authentikálja a felhasználót. Előfordulhat, hogy a felhasználói nevek a TIS
adatbázisban nem ugyanazok mint a lokákis gépen, például ha a felhasználó egy smartcard
-al vagy Digipass-al authentikálja magát. Ebben az esetben a felhasználói név az
adatbázisban általában csak az authentikációs eszköz sorozatszámaként ismert. Az
/etc/ssh/sshd_tis.map fájl tartalmazza a lokális felhasználók ás a neki megfelelő TIS
adatbázis-beli nevek közötti leképezést. Ha ez a fájl nem létezik, vagy a felhasználó
nincs benne, akkor az ssh feltételezi, hogy a felhasználói név és a TIS adatbázis-beli név
ugyanaz.
Ha a többi authentikációs módszer meghiúsul, az ssh jelszót kér a felhasználótól. A
jelszót ellenőrzés céljából elküldi a távoli gépre, azonban mivel minden kommunikáció
titkosítva van, a jelszót nem olvashatja el valaki, aki a hálózaton hallgatózik.
Amikor a felhasználó azonosságát elfogadja a szerver, akkor vagy végrehajtja a megadott
parancsot, vagy belép a gépbe, és a felhasználónak egy szokásos shell-t ad a távoli gépen.
Minden, a távoli parancsal vagy shell-el történő kommunikáció automatikusan titkosítva
lesz.
Ha egy pszeudo-terminál volt allokálva (normális login session), a felhasználó kiléphet a
"~." parancs segítségével és felfüggesztheti az ssh -t "~^Z" -vel.
Az összes forwardolt kapcsolatot ki lehet listázni egy "~#" -el, és ha a session a
forwardolt X11 vagy TCP/IP kapcsolatok végetérésére várva blokkol, akkor "~&" -el háttérbe
lehet küldeni (Ezt nem szabad addig hasznélni, amíg a felhasználó shellje aktív, mert
akkor a shell "lógni" fog). Az összes escape-szekvenciát "~?" -el lehet kilistázni.
Egyetlen tilde (~) karaktert "~~" -ként lehet elküldeni (vagy úgy, hogy a tildét a
fentiekben nem említett karakter követi). Az escape karakter csak akkor van különleges
karakterként interpretálva, ha újsort követ. Az escape karaktert meg lehet változtatni a
konfigurációs fájlokban vagy a parancssorban.
Ha az ssh nem foglal le egy pszeudo terminált, akkor a session átlátszó lesz, és lehet
bináris adatok megbízható átvitelére használni. A legtöbb rendszerben az escape karakter
``none'' -ra (semmire) való állítása a sessiont átlátszóvá teszi akkor is, ha egy tty van
használatban.
Egy session akkor ér véget, amikor a parancs végrehajtása vagy a shell a távoli gépen
véget ér, és az összes X11 és TCP/IP kapcsolat lezárult. Az ssh a távoli program kilépési
értékével (exit status) lép ki.
Ha a felhasználó X11-et használ (a DISPLAY környezeti változó be van állítva), az X11
displayhez való kapcsolat automatikusan forwardolódik a távoli géphez, olymódon, hogy
minden a shellből (vagy parancsból) indított X11 program a titkosított csatornán jön át,
az igazi X szerverrel való kapcsolat pedig a lokális gépről jön létre. A felhasználónak
nem kell kézzel beállítania a DISPLAY -t. Az X11 kapcsolatok forwardolásást a
parancssoron vagy a konfigurációs fájlokban lehet beállítani.
Az ssh által beállított DISPLAY a szerver gépre mutat, de zérónál nagyobb display számmal.
Ez azért van, mert az ssh egy "proxy" X szervert állít fel a szerver gépen a kapcsolatok
titkosított csatornán való továbbításához.
Az ssh automatikusan beállítja a szerveren az Xauthority adatokat is. Ehhez egy
véletlenszerű authorizációs cookie-t generál, amit a szerveren tárol az Xauthority-ban,
ellenőrzi, hogy az összes forwardolt kapcsolat ezzel a cookie-val jön-e, és kicseréli őket
az igazi cookie-ra, amikor a kapcsolat megnyílik. Az igazi authentikációs cookie-t soha
nem küldi el a szerver gépre, és semmilyen cookie-t nem küld el titkosítás nélkül.
Ha egy felhasználó egy authentikációs közvetítőt (agent) használ, akkor a közvetítőhöz
való kapcsolatot automatikusan forwardolja a távoli gépre, hacsak ez nincs letiltva a
parancssoron vagy egy konfigurációs fájlban.
Tetszőleges TCP/IP kapcsolatoknak a biztonságos csatornán való forwardolását a
parancssoron vagy egy konfigurációs fájlban lehet megadni. A TCP/IP forwardolásnak egy
lehetséges alkalmazása egy elektronikus pénztárcához való biztonságos kapcsolódás; egy
másik a tűzfalakon való átjutás.
Az ssh automatikusan fenntart és ellenőriz egy adatbázist, amely tartalmazza az összes
olyan gép RSA-alapú azonosítását, amellyel valaha is használva volt. Az adatbázis az
.ssh/known_hosts -ban van, a felhasználó home könyvtárában. Ezen kívül az ismert gépeket
az /etc/ssh/ssh_known_hosts -ban is leellenőrzi. Minden új gép automatikusan hozzáadódik
a felhasználó fájljához. Ha egy gép nyilvános kulcsa megváltozik, az ssh figyelmeztet és
megtiltja a jelszóval való belépést, nehogy a felhasználó jelszavát egy "trójai faló"
lopja el. Ennek a mechanizmusnak egy másik célja a "középen a támadó" (man-in-the-middle
attack) megakadályozása, amely egyébként meghiúsítaná a titkosítást. A
StrictHostKeyChecking opciót (lásd az alábbiakban) lehet arra használni, hogy
megakadályozzuk az olyan gépre való belépést, amelyeknek a kulcsa nem ismert vagy
megváltozott.
OPCÍÓK
-a Megtiltja az authentikációs közvetítő (agent) forwardolását. Ezt egy gépektől
függő módon a konfigurációs fájlban is meg lehet adni.
-c idea|des|3des|blowfish|arcfour|none
A session titkosításának a módját adja meg. Az idea az alapértelmezett.
Biztonságosnak tartják. A des az adattitkosítási szabvány (data encryption
standard), de feltörhető a kormányzatok, nagyobb vállalatok és a fontosabb
bűnüldoző szervek által. A 3des (triple-des) egy titkosítás-visszafejtés-titkosítás
három különboző kulcsal. Valószínűleg biztonságosabb mint a DES. Ez az
alapértelmezett, ha valamelyik oldal nem támogatja az IDEA-t. A blowfish Bruce
Schneier által kitalált titkosítási algoritmus, ami 128 bites kulcsokat használ.
Az arcfour egy 1995-ben az Usenet News-ben publikált algoritmus. Úgy tartják, hogy
ez ugyanaz mint az RSA Data Security által használt RC4 titkosítás (az RC4 az RSA
Data Security bejegyzett védjegye). Ez a jelenleg támogatott leggyorsabb
algoritmus. none esetén egyáltalán nincs titkosítás - ezt csak hibakeresésre
szánták, és a kapcsolat nem biztonságos.
-e ch|^ch|none
Beállítja a pty-vel rendelkező session-ök számára az escape karaktert
(alapértelmezett: ~). Ez csak a sor elején számít escape karakternek. A pont
által követett escape karakter bezárja a kapcsolatot, a control-Z által követve
felfüggeszti a kapcsolatot, és önmaga által követve egyszer küldi el az escape
karaktert. A karakternek a ´none´ -ra való állítása letilt minden escape-t és
teljesen átlászóvá teszi a session-t.
-f A háttérbe teszi az ssh -t az authentikáció befejezése és a forwardolások
létrehozása után. Ez hasznos ha az ssh jelszót vagy jelmondatot (passphrase) kér,
de a felhasználó a háttérben akarja futtatni. Szkriptekben is hasznos lehet. Ez az
opció a -n opciót is magában foglalja. A távoli gépeken levő X11 programok
elindításának az ajánlott módja valami "ssh -f gép xterm" szerű.
-i identity_fájl
Megadja, hogy melyik fájlból legyen kiolvasva a privát kulcs az RSA
authentikációhoz. Az alapértelmezett a .ssh/identity a felhasználó home
könyvtárában. Identity fájlokat gépektől függő módon a konfigurációs fájlokban is
meg lehet adni. Lehetséges több -i opciót is megadni (és a konfigurációs fájlokban
is lehet több privát kulcs).
-k Letiltja a kerberos ticket-ek forwardolását. Ezt szintén meg lehet adni gépektől
függő módon a konfigurációs fájlokban is.
-l login_name
Meghatározza, hogy milyen felhasználói néven lépjen be a távoli gépre. Ezt szintén
meg lehet adni gépektől függő módon a konfigurációs fájlokban is.
-n A /dev/null -ból irányítja át a stdin-t (vagyis gyakorlatilag megakadályozza a
stdin-ról való olvasást) Ezt használni kell, amikor az ssh a háttérben fut. Egy
szokásos trükk ezt a távoli gépen levő X11 programok futtatására használni.
Például "ssh -n shadows.cs.hut.fi emacs &" egy emacs-ot indít el a
shadows.cs.hut.fi -n, és a X11 kapcsolat automatikusan forwardolódik a titkosított
csatornán. Az ssh program a háttérbe kerül. (Ez nem működik, ha az ssh -nak
jelszóra vagy jelmondatra van szüksége; erre lásd az -f opciót.)
-o 'opciók'
Ezt arra lehet használni, hogy a konfigurációs fájlok formátumában adjunk meg
opciókat. Ez olyan opciók esetén hasznos, amelyeknek nincs külön parancssoron
használható flag-jük. Az így megadott opcióknak ugyanaz a formátumuk mint egy
konfigurációs fájl-beli sornak.
-p port
Megadja, hogy a távoli gép melyik portjára csatlakozzunk. Ezt szintén meg lehet
adni gépektől függő módon a konfigurációs fájlokban is.
-q Csendes (quiet) üzemmód. Ilyenkor a figyelmeztetések és a diagnosztikai üzenetek
nem íródnak ki, csak a végzetes hibák.
-P Nem privilégizált portot használ. Ilyenkor nem tudod az rhosts vagy a rsarhosts
authentikációt használni, de át tud menni olyan tűzfalakon, amelyek nem engednek át
privilégizált forrás-portról induló csomagokat.
-t Kényszeríti a pseudo-tty lefoglalást. Ezt például távoli gépeken futó
képernyő-alapú programok futtatására lehet használni (például amelyek menüket
használnak).
-v Bőbeszédő (verbose) üzemmód. Ilyenkor az ssh debugging üzeneteket ír ki a
működéséről. Ez a kapcsolatfelépítéssel, authentikációval és a konfigurációval
kapcsolatos problémák hibakeresésénél hasznos.
-V Csak kiírja a verziószámot és kilép.
-g Megengedi, hogy távoli gépek lokális port-forwardoló portokra kapcsolódjanak.
Alapértelmezés szerint csak a localhostról lehet a lokálisan lekötött (bind)
portokra csatlakozni.
-x Letiltja az X11 forwardolást. Ezt szintén meg lehet adni gépektől függő módon a
konfigurációs fájlokban is.
-C Az összes adat (beleértve a stdin-t, stdout-ot, stderr-t és a forwardolt X11 és
TCP/IP kapcsolatokat) tömörítve lesz. A tömörítési algoritmus ugyanaz mint a gzip
által használt, és a "szintjét" a CompressionLevel opcióval (lásd alább) lehet
beállítani. A tömörítés hasznos modemvonalakon és egyéb lassú kapcsolatok esetén,
de a gyors hálózatok esetén csak lassítani fogja a dolgokat. Ezt szintén meg lehet
adni gépektől függő módon a konfigurációs fájlokban is, lásd a Compress opciót
alább.
-L port:host:hostport
Forwardol egy adott portot a lokális (kliens) gépről egy távoli gépre. Ez úgy
működik, hogy lefoglal egy socket-et, hogy a port -on várakozzon (listen) a lokális
oldalon, és valahányszor egy kapcsolat jön erre a portra, azt a biztonságos
csatornán keresztül forwardolja, és a host:hostport -re a távoli gépről lép be. A
port-forwardolást a konfigurációs fájlban is specifikálni lehet. Csak a root
forwardolhat privilégizált portokat.
-R port:host:hostport
Forwardol egy adott portot a távoli (szerver) gépről egy lokális gépre. Ez úgy
működik, hogy lefoglal egy socket-et, hogy a port -on várakozzon (listen) a távoli
oldalon, és valahányszor egy kapcsolat jön erre a portra, azt a biztonságos
csatornán keresztül forwardolja, és a host:hostport -re a lokális gépről lép be. A
port-forwardolást a konfigurációs fájlban is specifikálni lehet. A távoli gépen
rootként kell belépnünk, ha privilégizált portokat akarunk forwardolni.
KONFIGURÁCIÓS FÁJLOK
Az ssh a következő forrásokból veszi a konfigurácós adatait (ebben a sorrendben):
parancssorbeli opciók, felhasználó konfigurációs fájlai ($HOME/.ssh/config), és a
renszerszintű konfigurációs fájl (/etc/ssh/ssh_config). Minden paraméter az így kapott
első értéket kapja. A konfigurációs fájlok "Host" specifikációk által behatárolt részeket
tartalmaznak, és egy adott rész csak azokra a gépekre vonatkozik, amelyek illeszkednek a
specifikációban megadott mintára. A parancssoron megadott gépnév kerül illesztésre.
Mivel minden paraméter az első értéket kapja, az inkább egy adott gépre specifikus
deklarációkat a fájl elején érdemes megadni, az általánosabb default-okat pedig a végén.
A konfigurációs fájlnak a következő formátuma van:
Az üres sorok és a ´#´ -el kezdődő sorok megjegyzések.
Egyébként pedig egy sor formátuma "kulcsszó argumentumok" vagy "kulcsszó =
argumentumok". A lehetséges kulcsszavakat és a jelentésüket lásd az alábbiakban
(megjegyzés: a konfigurációs fájlokban különbség van a kisbetű és a nagybetű
közott, de a kulcsszavaknál ez nem számít):
Host Az ezt követő deklarációkat korlátozza, hogy csak a kulcsszó után következő mintára
illeszkedő gépnevekre legyen érvényes (egészen a következő Host kulcsszóig). A ´*´
és a ´?´ wildcard-ként használható a mintákban. Ha a minta egyetlen ´*´ -ből áll,
akkor az az összes gépre vonatkozó globális defaultot jelent. A gépnév ilyenkor a
parancssoron megadott hostname argumentum (vagyis a név nincs kanonikus alakba
hozva az illeszkedésvizsgálat előtt).
BatchMode
Ha ez "yes" -re van állítva, akkor a jelszó/jelmondat megkérdezése letiltódik. Ezt
akkor hasznos, ha szkriptekből vagy egyéb automatizált eszközökből hívod, és nincs
felhasználó, aki megadhatná a jelszót. Az argumentum "yes" vagy "no" kell legyen.
Cipher Meghatározza a session titkosításához használat módszert. Jelenleg az idea, des,
3des, blowfish, arcfour és none vannal támogatva. A alapértelmezett az "idea"
(vagy a "3des" ha az "idea"-t nem támogatja mindkét gép). A "none" esetén nincs
titkosítás - ezt csak hibakeresésre szabad használni, mert ilyenkor a kapcsolat nem
biztonságos.
ClearAllForwardings
Kitörli az összes forwardolást, miután beolvasta az összes konfigurációs fájlt, és
a parancssort is. Ez arra jó, hogy a konfigurációs fájlokban található
forwardolásokat letiltsd, amikor egy második kapcsolatot akarsz létrehozni egy
olyan géppel, amelynek a konfigurációs fájlában a forwardolás be van állítva. Az
scp ezt alapértelmezés szerint beállítja, így működni fog még akkor is, ha a
konfigurációs fájban forwardolások vannak beállítva.
Compression
Meghatározza hogy legyen-e tömörítés használva. Az argumentum "yes" vagy "no" kell
legyen.
CompressionLevel
Meghatározza a tömörítés szintjét, ha a tömörítés engedélyezve van. Az argumentum
egy 1 (gyors) és 9 (lassú, de a legjobb) közötti szám kell legyen. Az
alapértelmezett szint 6, ami jó a legtöbb alkalmazás szempotjából. Ezeknek az
értékeknek a jelentése ugyanaz, mint a GNU GZIP esetén.
ConnectionAttempts
Meghatározza, hogy hányszor próbálkozzon (másodpercenként egyszer), mielőtt az rsh-
val próbálkozna, vagy kilépne. Az argumentum egy egész szám kell legyen. Ez hasznos
lehet szkriptekben, ha a kapcsolatfelvétel néha nem sikerül.
EscapeChar
Beállítja az escape karaktert (az alapértelmezett: ~). Az escape karaktert a
parancssoron is be lehet állítani. Az argumentum egy betű által követett ´^´ kell
legyen, vagy ``none'', hogy az escape karaktert teljesen letiltsuk (és így a
kapcsolatot átlátszóvá tegyük a bináris adatok számára)
FallBackToRsh
Meghatározza, hogy ha az ssh kapcsolat nem sikerül "connection refused" hiba miatt
(amit valószínüleg az okoz, hogy a másik gépen nem fut az sshd ), akkor az rsh
legyen-e használva automatikusan helyette (egy megfelelő figyelmeztetés után, mely
szerint a session nem lesz titkosítva). Az argumentum "yes" vagy "no" kell legyen.
ForwardAgent
Meghatározza, hogy egy authentikációs közvetítővel való kapcsolat (ha van)
forwardolva legyen-e a távoli gépre. Az argumentum "yes" vagy "no" kell legyen.
ForwardX11
Meghatározza , hogy az X11 kapcsolatok automatikusan át legyenek-e irányítva a
biztonságos csatornára a DISPLAY beállításával egyidejűleg. Az argumentum "yes"
vagy "no" kell legyen.
GatewayPorts
Meghatározza, hogy távoli gépek kapcsolódhatnak-e a lokálisan forwardolt portokra.
Az argumentum "yes" vagy "no" kell legyen.
GlobalKnownHostsFile
Meghatározza, hogy a /etc/ssh/ssh_known_hosts helyett melyik fájl legyen használva.
HostName
Meghatátozza annak a gépnek az igazi nevét, amelyikre be akarunk lépni. Ez arra
jó, hogy rövidített neveket használjunk. A default a parancssoron megadott név. A
numerikus IP címek szintén engedélyezve vannak (a parancssoron is, és a HostName
specifikációkban is).
IdentityFile
Meghatározza, hogy a felhasználó RSA authentikációs kulcsa melyik fájlból legyen
kiolvasva (az alapértelmezett az .ssh/identity a felhasználó home könyvtárában).
Ezenkívül egy esetleges authentikációs közvetítő által megadott identitások is
felhasználódnak. A fájl neve tertalmazhatja a tildét, hogy a felhasználó home
könyvtárát jelezze. Több identitás-fájlt is meg lehet adni a konfigurációs
fájlokban, ilyenkor ezek az adott sorrendben lesznek kipróbálva.
KeepAlive
Meghatározza, hogy a rendszer küldjön-e "maradj élve" (keepalive) üzeneteket a
túloldalnak. Ha küld, akkor a kapcsolat megszünése, vagy a gépek egyikének a
meghalása megfelelően észlelődik. Ugyanakkor ez azt is jelenti, hogy a kapcsolatok
megszakadnak akkor is ha a hálózat csak ideiglenesen nem működik, és van aki ezt
idegesítőnek tartja.
A alapértelmezett az hogy "yes" (küldjön ilyeneket), és a kliens észre fogja venni
ha a szerver vagy a hálózat lehal. Ez fontos a scriptekben, és sok felhasználó
szintén szereti.
A keepalives-ek letiltásához ezt az értéket "no"-ra kell állítani mind a szerver,
mind a kliens konfigurációs fájljaiban.
KerberosAuthentication
Meghatározza, hogy legyen-e Kerberos V5 authentikáció használva.
KerberosTgtPassing
Meghatározza, hogy legyen-e egy Kerberos V5 TGT a szervernek elküldve.
LocalForward
Azt állítja be, hogy egy lokális TCP/IP port forwardolva legyen a biztonságos
csatornán keresztül a megadott gép megadott portjára. Az első argumentum egy
portszám kell legyen, a második meg egy gép:port. Egyszerre több forwardolást is
be lehet állítani, és további forwardolásokat lehet a parancssoron hozzáadni.
Privilégizált portokat csak a root forwadolhat.
NumberOfPasswordPrompts
Meghatározza, hogy az ssh hányszor kérje el a jelszót mielőtt feladná. Mivel a
szerver szintén limitálja a próbálkozások számát (jelenleg 5 a maximum), ezért
hatástalan ennél nagyobb értékre állítani. Az alapértelmezett érték egy.
PasswordAuthentication
Meghatározza legyen-e jelszó-authentikáció használva. Az argumentum "yes" vagy
"no" kell legyen.
PasswordPromptHost
Meghatározza, hogy benne legyen-e a távoli gép neve a jelszó promptban. Az
argumentum "yes" vagy "no" kell legyen.
PasswordPromptLogin
Meghatározza, hogy benne legyen-e a távoli login név a jelszó promptban. Az
argumentum "yes" vagy "no" kell legyen.
Port Meghatározza, hogy a távoli gépen milyen porton probálkozzon. A default 22.
ProxyCommand
Meghatározza, hogy milyen parancs segítségével kapcsolódjunk egy szerverre. A
parancs-string a sor végéig tart, a /bin/sh hajtja végre. A parancs-stringben a %h
helyére a szerver gép neve kerül, %p helyére pedig a portszám. A parancs szinte
bármi lehet, a stdin-ről kell olvasnia, és a stdout-re írnia. Végül egy valamilyen
gépen futó sshd szerverre kell kapcsolódnia, vagy "sshd -i" -t kell futtatnia
valahol. A gép-kulcs kezelése a szerver gép HostName-ja segítségével (aminak a
defaultja a felhasználó által beírt név) történik. (Megjegyzés: az ssh -t lehet
úgy konfigurálni, hogy a SOCKS rendszert támogassa: ehhez fordításkor a --with-
socks4 vagy --with-socks5 opciókat kell megadni).
RemoteForward
Azt állítja be, hogy egy távoli TCP/IP port forwardolva legyen a biztonságos
csatornán keresztül a megadott lokális gép megadott portjára. Az első argumentum
egy portszám kell legyen, a második meg egy gép:port. Egyszerre több forwardolást
is be lehet állítani, és további forwardolásokat lehet a parancssoron hozzáadni.
Privilégizált portokat csak a root forwadolhat.
RhostsAuthentication
Meghatározza, hogy az rhosts authentikáció ki legyen-e próbálva. Megjegyzés: ez a
deklaráció csak a kliens viselkedését befolyásolja, és a biztonságra semmi hatása
nincs. Az rhosts authentikációval való próbálkozás letiltása csökkentheti az
authentikációs időt lassú kapcsolatok esetén, ha az rhosts authentikáció nincs
használatban. A legtöbb szerver nem engedélyezi az az rhosts authentikációt, mert
az nem biztonságos (lásd RhostsRSAAuthentication) Az argumentum "yes" vagy "no"
kell legyen.
RhostsRSAAuthentication
Meghatározza, hogy az RSA gép-authentikációval kombinált rhosts authentikáció ki
legyen-e próbálva. Ez az elsődleges authentikációs módszer a legtöbb esetben. Az
argumentum "yes" vagy "no" kell legyen.
RSAAuthentication
Meghatározza, hogy az RSA authentikáció ki legyen-e próbálva. Az argumentum "yes"
vagy "no" kell legyen. Az RSA authentikáció csak akkor lesz megpróbálva, ha egy
identity fájl létezik, vagy ha egy authentikációs közvetítő fut.
StrictHostKeyChecking
Ha ez a flag "yes" - re van állítva, akkor az ssh soha nem fogja a gép-kulcsokat a
$HOME/.ssh/known_hosts fájlhoz automatikusan hozzáadni, és megtagadja, hogy olyan
gépekre lépjen be, amelyeknek a kulcsa megváltozott. Ez maximális védelmet nyújt a
trójai faló típusú támadások ellen. Ugyanakkor eléggé idegesítő tud lenni, ha
nincs egy jó /etc/ssh/ssh_known_hosts fájlod installálva és gyakran próbálsz új
gépekre kapcsolódni. Gyakorlatilag ez az opció arra kényszeríti a felhasználót,
hogy kézzel adja hozzá az összes új gépet. Általában "ask"-ra állítják ezt az
opciót, és az új gépek automatikusan hozzáadódnak az ismert gépeket tartalmazó
fájlhoz, miután a felhasználó megerősítette, hogy valóban ezt akarja. Ha ez "no"-ra
van állítva, akkor az új gépek automatikusan adódnak hozzá az ismert gépeket
tartalmazó fájlhoz. Az ismert gépek kulcsai minden esetben automatikusan
ellenőrizve lesznek. Az argumentum "yes", "no" vagy "ask" kell legyen.
TISAuthentication
Meghatározza, hogy megpróbálkozzunk-e TIS authentikációval. Az argumentum "yes"
vagy "no" kell legyen.
UsePrivilegedPort
Meghatározza, hogy használjunk-e privilégizált portokat, amikor a másik oldalhoz
hozzákapcsolódunk. Az alapértelmezett az, hogy "yes", ha az rhosts authentikációk
engedélyezve vannak.
User Meghatározza, hogy milyen felhasználóként lépjen be. Ez akkor lehet hasznos, ha a
különböző gépeken más-más a felhasználói neved, és nem akarod azzal veszíteni az
időt, hogy a parancssoron adod meg a felhasználói nevet.
UserKnownHostsFile
Meghatározza, hogy a $HOME/.ssh/known_hosts helyett milyen fájlt használjunk.
UseRsh Meghatározza, hogy egy adott gépre rögtön az rlogin/rsh legyen-e használva.
Előfordulhat, hogy egy gép egyáltalán nem támogatja az ssh protokollt. Ilyenkor ssh
rögtön elindítja az rsh -t. Az összes többi opció (kivéve a HostName-t) ignorálva
lesz. Az argumentum "yes" vagy "no" kell legyen.
XAuthLocation
Meghatározza a elérési utat a xauth programhoz.
KÖRNYEZET
Az ssh normális esetben a következő környezeti változókat állítja be:
DISPLAY
A DISPLAY változó az X11 szerver helyére utal. Ezt az ssh automatikusan egy
"gépnév:n" alakra állítja be, ahol a gépnév annak a gépnek a neve, ahol a shell
fut, és n egy >= 1 egész szám. Az ssh ezt arra használja, hogy az X11
kapcsolatokat a biztonságos csatornán forwadolja. Jobb, ha a felhasználó nem
állítja be maga a DISPLAY-t expliciten, mert ez azt eredményezi, hogy az X11
kapcsolat nem lesz biztonságos. (és a felhasználó kénytelen lesz magának bemásolni
a szükséges authorizációs cookie-kat).
HOME A felhasználó home könyvtára.
LOGNAME
Az USER szinonimája - az olyan rendszerekkel való kompatibilitás céljából, amelyek
ezt a változót használják.
MAIL A felhasználó mailbox-a.
PATH Egy olyan alapértelmezett PATH-ra van beállítva, amelyet fordítás közben lehet
megadni az ssh -nak, vagy egyes rendszerekben az /etc/environment -ban vagy az
/etc/default/login -ban.
SSH_AUTH_SOCK
Ha létezik, arra van használva, hogy egy olyan unix-domain sockethez vezető path-ot
jelezzen, ami egy authentikációs közvetítővel (avgy lokális megfelelőjével) való
kapcsolathoz kell.
SSH_CLIENT
A kapcsolat kliens részét jelzi. Ez a változó három space-el határolt értéket
tartalmaz: kliens ip-cím, kliens portszám és szerver portszám.
SSH_ORIGINAL_COMMAND
Ez az eredeti parancssor kényszerített parancsfuttatás esetén. Arra lehet
használni, hogy elérd az argumentumokat stb. a túloldalról.
SSH_TTY
Ez a jelenlegi shellel vagy parancsal társított tty nevére (egy eszközhöz vezető
útvonalra) van állítva. Ha a jelenlegi session-nak nincs tty-je, ez a változó nincs
beálítva.
TZ Az időzóna (timezone) változó a jelenlegi időzónát jelzi, ha az be volt állítva a
démon indításakor. (A démon átadja ezt az értéket az új kapcsolatoknak.)
USER A belépett felhasználó neve.
Ezeken kívül az ssh elolvassa az /etc/environment és $HOME/.ssh/environment, fájlokat, és
VÁLTOZÓNÉV=érték formátumú sorokat ad a környezethez. Egyes rendszereken további
mechanizmusok is létezhetnek a környezet beállítására, így például az /etc/default/login
Solaris-on.
FÁJLOK
$HOME/.ssh/known_hosts
Olyan gépek kulcsai, amelyikbe a felhasználó belépett (és nincsenek benne a
/etc/ssh/ssh_known_hosts -ban). Lásd még az sshd kézikönyvlapot.
$HOME/.ssh/random_seed
A véletlenszám-generátor inicializálásához használt fájl. Ez a fájl fontos
adatokat tartalmaz, a felhasználónak legyen írási/olvasási joga rá, de másoknak
semmi. Ez a fájl akkor keletkezik, amikor egy program első ízben fut, és
automatikusan változik. A felhasználónak sohasem kell elolvasnia vagy módódítania
ezt a fájlt.
$HOME/.ssh/identity
A felhasználó RSA authentikációs identitását tartalmazza. Ez a fájl fontos
adatokat tartalmaz, a felhasználónak legyen írási/olvasási joga rá, de másoknak
semmi. Ennek a kulcsnak a generálásákor egy jelmondatot is meg lehet adni, ez a
jelmondat arra használható, hogy ennek a fájlnak az érzékeny részét titkosítsa az
IDEA segítségével
$HOME/.ssh/identity.pub
Az authentikációra használt nyilvános kulcsot tartalmazza (az identitás-fájl
nyilvános részét olvasható formában) ennek a fájlnak a tartalmát a
$HOME/.ssh/authorized_keys fájlhoz kell hozzáadni minden olyan gépen, amelyikre RSA
authentikáció segítségével akarsz belépni. Ez a fájl nem érzékeny, és lehet (de
nem szükségszerű) mindenki által olvashatóvá tenni. Ezt a fájlt soha nem
használják automatikusan, és nincs is szükség rá, csak a felhasználó kényelme
kedvéért van ott.
$HOME/.ssh/config
Ez a konfigurációs fájl a felhasználóra jellemző beállításokat tartalmazza. A fájl
formátuma a fentiekben van leírva. Ezt a fájlt az ssh kliensek használják.
Általában ez a fájl nem tartalmaz érzékeny információkat, de az ajánlott
jogosultságok írás/olvasás a felhasználónak, és semmi jog másoknak.
$HOME/.ssh/authorized_keys
Azokat az RSA kulcsokat tartalmazza, amelyek használhatók arra, hogy segítségével e
felhasználóként be lehessen lépni. Ennek a fájlnak a formátuma az sshd
kézikönyvlapban van leírva. Legegyszerűbb esetben a formátum ugyanaz mint a .pub
identitás fájlok esetén.
Ez a fájl nem tartalmaz nagyon érzékeny információkat, de az ajánlott jogosultságok
írás/olvasás a felhasználónak, és semmi jog másoknak.
/etc/ssh/ssh_known_hosts
Az ismert gépek kulcsainak rendszerszintű listája. Ezt a fájlt a rendszergazdának
kell elkészítenie, hogy a hálózaton belüli összes gép nyilvános kulcsát
tartalmazza. Ennek a fájlnak mindenki által olvashatónak kell lennie. Ha egy
gépnek több neve is van, akkor az összes ilyen gépnevet fel kell sorolni, vesszővel
elválasztva. A formátumot az sshd kézikönyvlap írja le.
Belépéskor a kanonikus gépnév (amit a nameserver visszaad) az, amit az sshd a
kliens gép identitásának a megállapítására használ belépéskor; a többi névre azért
van szükség, mert az ssh nem konvertálja a felhasználó által megadott nevet
kanonikus névvé, mielőtt egy kulcsot ellenőrizne, mivel egyébként valaki, aki
hozzáfér a nameserver-hez, átverhetné a gép-authentikációt.
/etc/ssh/ssh_config
A rendszerszintű konfigurációs fájl. Ez a fájl defaultokat specifikál olyan értékek
számára, amelyek nincsenek a felhasználó konfigurációs fájljában, vagy olyan
felhasználóknak, akiknek nincs konfigurációs fájljuk. Ennek a fájlnak mindenki
által olvashatónak kell lennie.
$HOME/.rhosts
Ez a fájl az .rhosts authentikáció során van használva, mégpedig arra, hogy
felsorolja azokat a gép/felhasználó párokat, amelyeknek a belépés engedélyezve van.
(Megjegyzés: ezt a fájlt használja az rlogin és az rsh is, ezért használatuk nem
számít biztonságosnak) A fájl minden sora tartalmaz egy gépnevet (abban a kanonikus
formában, ahogy a nameserverek adják), utána pedig egy azon a gépen található
felhasználó felhasználói nevét, vesszővel elválasztva. Ennek a fájlnak a
felhasználó tulajdonában kell lennie, és nem szabad másoknak is írási jogot adni
rá.
Megjegyzés: alapértelmezés szerint az sshd sikeres RSA gép-authentikációt igényel
mielőtt megengedné az .rhosts authentikációt. Ha egy szerver géped nem tartalmazza
egy kliens gép kulcsát az /etc/ssh/ssh_known_hosts -ben, akkor az
$HOME/.ssh/known_hosts -be is teheted. A legegyszerűbb módja ennek az, hogy a
szerverről belépsz a kliensre, ekkor a kliens gép kulcsa automatikusan hozzáadódik
a $HOME/.ssh/known_hosts -hoz.
$HOME/.shosts
Ezt a fájlt pontosan ugyanúgy kell használni mint a .rhosts -t. Csak azért van,
hogy képes legyél az rhosts authentikációt használni az ssh -val, anélkül, hogy
megenged az rlogin-t vagy az rsh-t.
/etc/hosts.equiv
Ez a fájl az .rhosts authentikáció során van használva. Kanonikus gépneveket
tartalmaz, soronként egyet (a formátum teljes leírását lásd az sshd
kézikönyvlapban). Ha egy kliens gép benne van ebben a fájlban, és a login nevek a
szerveren és a kliensen megegyeznek, akkor a belépés automatikusan engedélyezve
lesz. Ezen kívül sikeres RSA gép-authentikációra is szükség van normális esetben.
Ennek a fájlnak csak a root által kell írhatónak lennie.
/etc/ssh/shosts.equiv
Ez a fájl pontosan úgy van feldolgozva, mint a /etc/hosts.equiv. Arra jó, hogy
megengedje az ssh belépéseket, de megtiltsa az rsh/rlogin belépéseket.
/etc/ssh/sshrc
Az ebben a fájlban található parancsok akkor hajtódnak végre az ssh által, amikor
felhasználó belép, közvetlenül azelőtt, hogy a felhasználó shellje (vagy parancsa)
elindulna. Lásd az sshd kézikönyvlapot további információkért.
$HOME/.ssh/rc
Az ebben a fájlban található parancsok akkor lesznek végrehajtva az ssh által,
amikor felhasználó belép, közvetlenül azelőtt, hogy a felhasználó shellje (vagy
parancsa) elindulna. Lásd az sshd kézikönyvlapot további információkért.
INSTALLÁLÁS
Az ssh általában suid rootként van felinstallálva. A root jogokra csak az rhosts
authentikáció miatt van szüksége (Az rhosts authentikáció azt igényli, hogy a kapcsolat
egy privilégizált portról kezdeményeződjön, és ilyen portot csak root jogokkal lehet
lefoglalni) Ezen kívül képesnek kell lennie arra, hogy a /etc/ssh/ssh_host_key -t
elolvassa, hogy RSA gép authentikációt tudjon használni. Lehetséges az ssh -t root jogok
nélkül használni, de akkor az rhosts authentikációt nem lehet használni. Az ssh eldobja
az összes extra jogot, amint a kapcsolat a távoli géppel létrejött.
Mindent megtettünk azért, hogy az ssh biztonságos legyen. Ha ennek ellenére biztonsági
problémát találsz, kérjük rögtön értesíts minket az <ssh-bugs@cs.hut.fi> címen.
SZERZŐ
Tatu Ylonen <ylo@ssh.fi>
Az újabb verziókról, levelezési listákról, és a többi kapcsolódó témáról az ssh WWW home
page-n, a http://www.cs.hut.fi/ssh címen találsz információt.
LÁSD MÉG
sshd(8), ssh-keygen(1), ssh-agent(1), ssh-add(1), scp(1), make-ssh-known-hosts(1),
rlogin(1), rsh(1), telnet(1)
MAGYAR FORDÍTÁS
Balázs-Csíki László <bcsl@elender.hu>