Was ist SSH?

Secure Shell (SSH) ist ein kryptografisches Netzwerkprotokoll, das Sitzungen zwischen einem Client und einem Remote-Host authentifiziert und verschlüsselt und damit unsichere Protokolle wie Telnet und rlogin ersetzt. Administratoren nutzen SSH für den Zugriff über die Befehlszeile, die Ausführung von Befehlen aus der Ferne sowie die schlüsselbasierte, passwortfreie Dateiübertragung über nicht vertrauenswürdige Netzwerke wie das Internet.

Die wichtigsten Erkenntnisse

• SSH verschlüsselt und authentifiziert Remote-Befehlszeilen- und Dateiübertragungssitzungen.
• Die Authentifizierung mit öffentlichen Schlüsseln ist sicherer als Passwörter und ermöglicht eine Automatisierung.
• SSH-2 hat die unsichere, veraltete Protokollversion SSH-1 abgelöst.
• Die Absicherung von SSH bedeutet, schwache Verschlüsselungsalgorithmen, Ports und Standardkonten zu deaktivieren.
• Versa Der Director und die VOS-Geräte nutzen SSH für den administrativen CLI-Zugriff.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · SSH & Versa · Häufig gestellte Fragen

Warum ist SSH wichtig?

Vor der Einführung von SSH griffen Administratoren über Telnet, rlogin und rsh auf Remote-Systeme zu – Protokolle, bei denen Benutzernamen, Passwörter und jeder Tastenanschlag im Klartext übertragen wurden. Jeder, der den Netzwerkpfad beobachtete, konnte Anmeldedaten abfangen oder eine Sitzung kapern. SSH ersetzte alle drei Protokolle, indem es die gesamte Sitzung verschlüsselte und die Identität sowohl des Servers als auch des Clients überprüfte. Aus diesem Grund hat es sich als Standardmethode für die Verwaltung von Servern, Netzwerkgeräten und Cloud-Instanzen etabliert.

Seine Bedeutung bleibt bestehen, da bei der Fernverwaltung ständig nicht vertrauenswürdige Netzwerke durchquert werden. Die Public-Key-Authentifizierung von SSH hat zudem Passwörter aus Routinevorgängen verdrängt, sodass skriptgesteuerte Anmeldungen und Konfigurationsmanagement-Tools eine Authentifizierung ermöglichen, ohne dass ein Mensch Anmeldedaten eingeben muss. Nahezu jedes Netzwerkbetriebssystem, jede Linux-Distribution und jede Cloud-Plattform enthält einen SSH-Server oder -Client, was die SSH-Sicherheit – Schlüsselverwaltung, Auswahl der Verschlüsselungsalgorithmen, Zugriffsbeschränkungen – zu einem zentralen Bestandteil jeder Sicherheitsrichtlinie macht.

Was ist SSH?

SSH besteht aus drei zusammenwirkenden Schichten. Das Transportschichtprotokoll baut den verschlüsselten Kanal auf: Client und Server vereinbaren Verschlüsselungsalgorithmen, tauschen einen Hostschlüssel aus, damit der Client überprüfen kann, ob er mit dem echten Server kommuniziert, und leiten Sitzungsschlüssel ab. Das Benutzerauthentifizierungsprotokoll überprüft anschließend die Identität des Clients – entweder per Passwort, über ein öffentliches/privates Schlüsselpaar oder durch Methoden wie die tastaturinteraktive oder hostbasierte Authentifizierung. Nach der Authentifizierung multiplexiert das Verbindungsprotokoll den verschlüsselten Kanal in logische Ströme: eine interaktive Shell, einen einzelnen Remote-Befehl, weitergeleitete TCP-Ports oder ein Dateiübertragungssubsystem.

Die Authentifizierung per öffentlichem Schlüssel wird bevorzugt: Ein Benutzer generiert ein Schlüsselpaar, hinterlegt den öffentlichen Schlüssel auf dem Server und bewahrt den privaten Schlüssel geheim. Der Server fordert den Client auf, den Besitz des passenden privaten Schlüssels nachzuweisen, sodass kein Passwort über das Netzwerk übertragen wird. Derselbe Mechanismus liegt auch den Dateiübertragungen per SFTP und SCP zugrunde, die nicht als separate Protokolle, sondern als Subsysteme innerhalb einer SSH-Sitzung ablaufen.

Arten von SSH

Es gibt zwei Protokollversionen. SSH-1 weist bekannte kryptografische Schwachstellen auf und gilt als veraltet; praktisch alle modernen Implementierungen verwenden SSH-2, ein überarbeitetes und sichereres Protokoll, das die Grundlage jeder aktuellen Implementierung bildet, einschließlich OpenSSH.

Innerhalb von SSH-2 existieren mehrere Authentifizierungsmethoden nebeneinander: die Passwort-Authentifizierung (die einfachste, aber gegenüber automatisierten Angriffen am anfälligste), die Authentifizierung mit öffentlichen Schlüsseln (die empfohlene Standardeinstellung), die tastaturinteraktive Authentifizierung (Challenge-Response-Verfahren wie Einmal-Passcodes) und die hostbasierte Authentifizierung (die einem Client-Rechner statt einem Benutzer vertraut). Die Verbindungsprotokollschicht definiert zudem verschiedene Kanaltypen: interaktive Shell-Sitzungen, die Ausführung einzelner Remote-Befehle, TCP-Portweiterleitung (Tunneling von anderem Datenverkehr durch die verschlüsselte Sitzung) sowie dieSFTP/SCP-Subsysteme für die Dateiübertragung. Die Wahl der Verschlüsselungs-, MAC- und Schlüsselaustauschalgorithmen – AES-GCM-Verschlüsselungen, SHA-2-basierte MACs, Schlüsselaustausch nach Curve25519 – bestimmt die kryptografische Stärke einer bestimmten Sitzung.

SSH & Versa

SSH ist der primäre Verwaltungszugang zu „ Versa Director“- und VOS-Geräten, und Versa Networks betrachtet es als eine zu sichernde Schnittstelle. Die Geräte werden mit einer Standardkonfiguration ausgeliefert. admin SSH-Benutzer; der SSH-Standardbenutzer Mit dieser Funktion kann ein Bediener einen anderen Standardbenutzer mit eigenem öffentlichen SSH-Schlüssel festlegen; anschließend wird die Administratoranmeldung deaktiviert.

Manuelle Absicherung von Zweigstellen, Controllern und Hubs und Manuelle Absicherung für den „ Versa Director“ Beide widmen dem Thema SSH einen eigenen Abschnitt: das Ändern des Standardports von 22, das Deaktivieren des SSH-Daemons, wo er nicht benötigt wird, und das Einstellen von Ciphers, MACs, und KexAlgorithms in sshd_config auf moderne, bewährte Algorithmen. Neuere VOS-Versionen unterstützen einen „access-list“-Befehl, um SSH, REST und NETCONF auf bestimmte IP-Adressen zu beschränken, und die Benutzeroberfläche von Director bietet Einstellungen zur Steuerung von SSH-Sitzungen – „Client Alive Interval“, „Max Concurrent Logins“ und „Login Grace Time“.

Häufig gestellte Fragen

Was ist der Unterschied zwischen SSH-1 und SSH-2?

SSH-1 weist bekannte Schwachstellen in Bezug auf Design und Kryptografie auf und ist veraltet. SSH-2 ist eine von Grund auf neu entwickelte Version mit stärkeren Algorithmen, einer besseren Integritätsprüfung sowie Unterstützung für verschiedene Authentifizierungsmethoden und Kanaltypen. Alle aktuellen SSH-Implementierungen, einschließlich OpenSSH, verwenden ausschließlich SSH-2.

Was ist die SSH-Authentifizierung per öffentlichem Schlüssel?

Ein Benutzer generiert ein Schlüsselpaar aus öffentlichem und privatem Schlüssel, hinterlegt den öffentlichen Schlüssel auf dem Server und bewahrt den privaten Schlüssel geheim auf. Der Server gibt eine kryptografische Abfrage aus, die nur mit dem passenden privaten Schlüssel beantwortet werden kann, sodass die Authentifizierung erfolgt, ohne dass jemals ein Passwort über das Netzwerk übertragen wird – und dies lässt sich automatisieren.

Was ist SSH-Portweiterleitung?

Bei der Portweiterleitung (auch als Tunneling bezeichnet) wird der Datenverkehr einer anderen Anwendung über eine bereits bestehende, verschlüsselte SSH-Sitzung weitergeleitet. Bei der lokalen Weiterleitung wird ein Remote-Dienst auf dem Rechner des Clients freigegeben; bei der Remote-Weiterleitung geschieht das Gegenteil. Diese Methode wird häufig verwendet, um Dienste zu erreichen, auf die sonst kein Netzwerkzugriff möglich ist.

Was ist SFTP und in welchem Zusammenhang steht es mit SSH?

SFTP (SSH File Transfer Protocol) ist ein Subsystem, das innerhalb einer authentifizierten SSH-Sitzung ausgeführt wird und somit über dieselbe Verschlüsselung und schlüsselbasierte Authentifizierung verfügt wie eine interaktive Shell. Es hat ältere, unverschlüsselte Übertragungsprotokolle wie FTP für die sichere Dateiübertragung abgelöst.

Welche SSH-Verschlüsselungsalgorithmen sollten zur Absicherung konfiguriert werden?

Die Leitlinien zur Härtung setzen moderne Maßstäbe für sshd_configdie Felder „Ciphers“, „MACs“ und „KexAlgorithms“ – beispielsweise AES-GCM-Verschlüsselungsalgorithmen, SHA-2-basierte HMACs und den Schlüsselaustausch nach Curve25519 – und entfernt veraltete Algorithmen, auf die schwächere Clients andernfalls zurückgreifen könnten.

Mehr zu SSH

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn Sie sich gerade mit SSH beschäftigen, sollten Sie sich als Nächstes diese Artikel ansehen.