openssh aix_获取最新版本的OpenSSH for AIX

最新推荐文章于 2025-04-09 08:00:00 发布

翻译最新推荐文章于 2025-04-09 08:00:00 发布 · 1.7k 阅读

1 ·

CC 4.0 BY-SA版权

原文链接：https://www.ibm.com/developerworks/systems/articles/openssh_updated.html

文章标签：

#linux #java #python #数据库 #ssh

本文介绍了OpenSSH的开源版本3.4p1，强调了用户特权分离的安全特性，以及在AIX 5.2上的增强，包括PAM支持和新的随机数生成器设备。还提到了安装和获取OpenSSH文件集的途径。

什么是开放安全壳？

Open Secure Shell（OpenSSH）是网络连接工具SSH协议套件的开源版本。这些工具提供经过身份验证和加密的外壳程序功能。 Shell是命令语言解释器，可从命令行字符串，stdin或文件中读取输入。为什么要使用OpenSSH？在不安全的公共网络（如Internet）上运行时，可以使用SSH命令套件而不是不安全的命令telnet，ftp和r命令。

OpenSSH提供了使用SSH1和SSH2协议进行通信的代码。有什么不同？ SSH2协议是SSH1的重写。 SSH2包含单独的分层协议，但是SSH1是一大套代码。 SSH2同时支持RSA和DSA密钥，但是SSH1仅支持RSA，并且SSH2使用强加密完整性检查，其中SSH1使用CRC-32检查。 Internet工程任务组（IETF）维护安全外壳标准。

什么是新的？

OpenSSH已从openssh.org更新为开放源代码的3.4p1版本。您可以从AIX上的OpenSSH下载它。

主要的新功能是用户特权分离，这是一项安全性增强功能，它通过减少使用特殊特权运行的代码量来防止超级用户升级风险。默认情况下，在OpenSSH服务器配置文件/etc/ssh/sshd_config启用用户特权分离：

#UsePrivilegeSeparation yes

它的工作方式是为每个连接创建一个单独的服务器进程，并且当来自客户端的请求时， ssh监视进程派生一个未特权的子进程，该子进程处理来自客户端的所有请求。如果客户端的请求需要超级用户特权，则将请求发送到特权监视进程。当您查看SSH进程启动时，您将看到sshd守护程序用于监视进程和客户端拥有的非特权进程。有关特权分离的更多详细信息，请参阅Niels Provos在2002年8月发表的文章“ 防止特权升级” 。

由于AIX 5.2是AIX操作系统的新版本，因此在此操作系统级别上完成了OpenSSH源代码的单独编译。 5.2级代码的VRMF是3.4.0.5200，以区分安装映像和5.1版本。如果从AIX 5.1迁移到AIX 5.2，新的VRMF也将提供帮助。 OpenSSH使用C for AIX (cc) 5.0编译器进行编译。安装映像的VRMF将与开放源代码级别紧密匹配，但“ F”（修复级别）除外。每次发布包含主要开放源代码发行版之间的修复程序的版本时，修订级别都会提高。例如，如果我们将代码的3.4p1级别更改为包含开放源代码的3.5级别的补丁，则“ F”将增加（例如3.4.0.5201）。

自2002年4月发布最初的2.9.9版本以来，OpenSSH源代码已通过启用国家语言支持（NLS）进行了增强。在2002年10月版本中，消息目录文件openssh.cat已被翻译成35种语言。消息目录文件以installp格式打包，名称类似于openssh.msg。<LANGUAGE_ABBREVIATION>，其中LANGUAGE_ABBREVIATION是该国家/地区的4个字符的语言环境代码（例如DE_DE是UTF德语）。消息目录文件集可从AIX 5L扩展包和Web下载包获得，并捆绑在.tar.Z文件中。在不同语言环境上安装OpenSSH文件集时，安装软件installp确定要安装的消息目录文件集的正确版本，并且将转换后的消息目录文件复制到/ usr / lib / nls / msg / <LANGUAGE_ABBREVIATION>中。

此版本中的其他修复

在最新的OpenSSH版本3.4p1二进制文件中，我们从openssh.org站点提供了一些特定于AIX的补丁程序。修补程序适用于以下修复程序：

强制执行密码过期
更新文件/ etc / security / login和登录失败
更新了失败的登录计数
LOGIN环境变量集
流式传输大量数据不再使会话挂起

AIX 5.2增强

由于AIX 5.2完全支持可插入身份验证模块（PAM），因此OpenSSH 3.4.0.5200已使用PAM支持进行编译。 PAM是一个框架，系统管理员可以在该框架中通过编写自定义模块并配置系统以使用它们来添加或堆叠多个不同的身份验证模块。在AIX 5.2上，PAM框架由一个库，可插入模块和一个配置文件组成。由于OpenSSH是使用PAM编译的，因此将在openssh.base.server软件包安装时在服务器上创建配置文件/etc/pam.conf 。（将来，/ /etc/pam.conf将在openssh.base.server安装时创建）。

缺省的PAM模块可以是pam_aix ，其中pam_aix由基本的AIX操作系统提供（自动安装在/usr/lib/security AIX 5.2上）。 pam_aix模块通过提供对AIX内置功能（如AIX pam_aix authentication()调用pam_aix authentication()访问，允许访问AIX安全服务。用于OpenSSH的/etc/pam.conf如下所示：

sshd    auth            required        /usr/lib/security/pam_aix
OTHER   auth            required        /usr/lib/security/pam_aix
sshd    account         required        /usr/lib/security/pam_aix
OTHER   account         required        /usr/lib/security/pam_aix
sshd    password        required        /usr/lib/security/pam_aix
OTHER   password        required        /usr/lib/security/pam_aix
sshd    session         required        /usr/lib/security/pam_aix
OTHER   session         required        /usr/lib/security/pam_aix

/etc/pam.conf的权限为644。

加密应用取决于随机数。如果随机数不是高度随机并且在生成期间未受到保护，则加密的安全性可能会减弱。

AIX 5.1上的OpenSSH是使用OpenSSH源代码（ ssh-rand-helper ）提供的熵收集机制（随机数）编译的，而AIX 4.3.3（AIX Linux Toolbox）使用的是PRNGD开源守护程序（ prngd-0.9.23-3.aix4.3.ppc.rpm package ）。

AIX 5.2基本安全性提供了新的伪随机数生成器设备/dev/random和/dev/urandomM ，伪设备驱动程序和配置例程，这些例程选择各种硬件设备中断来提供熵。编译了AIX 5.2中的OpenSSH以利用新设备/dev/urandom 。您还需要最新的OpenSSL版本openssl-0.9.6e-2.aix4.3.ppc.rpm （AIX Linux工具箱），OpenSSH才能使用/dev/urandom device 。

在哪里获取文件

OpenSSH文件集包含带有openssh.man.en_US手册页。
在网络上，openBSD提供了非常好的手册页。
有关在不同级别的AIX（AIX 4.3.3，AIX 5.1和AIX 5.2）上的安装说明，请参阅IBM红皮书《管理AIX服务器场》。第4.2章提供有关软件先决条件以及如何管理OpenSSH服务器和使用客户端命令的详细信息。
《 AIX 5.2安全指南》包含有关AIX和PAM的信息。

打包

四个安装包包含代码的installp格式：

安装包	描述
openssh.base	包含客户端和服务器安全外壳程序的二进制可执行文件。有两个单独的文件集， `openssh.base.client`和`openssh.base.server` 。您可能只安装了客户端部分，但是如果安装了服务器部分，则会自动安装客户端部分。
Penssh.license	IPLA不受限制的程序服务许可文本的约束。该文件集可确保您在安装之前阅读并接受软件许可证。
openssh.man.en_US	openssh.org源代码随附的手册页。手册页安装在`/usr/share/man`目录中，可以使用`man`命令进行查看。每个命令以及`ssh_config`和`sshd_config`配置文件都有手册页。
openssh.msg。<LANGUAGE_ABBREVIATION>	翻译的消息目录文件。唯一安装的`.msg`文件集与您在操作系统上安装的语言环境有关。

安装包中包含将可执行文件安装到正确目录中所需的脚本。

以下文件位于openssh.base.client文件集中，并安装在/usr/bin ：

ssh
scp
sftp
ssh-add
ssh-keygen
ssh-keyscan
ssh-agent
ssh-keysign
ssh-rand-helper

以下文件位于openssh.base.server文件集中，并安装在/usr/sbin ：

sshd
sftp-server

以下配置文件安装在/etc/ssh ：

ssh_config
sshd_config

包装在3.4p1的代码级别上创建服务器执行所需的sshd用户，组和/var/empty目录。打包还启用守护程序的SRC控制，生成主机密钥并在安装前检查OpenSSL的先决条件。

翻译自: https://www.ibm.com/developerworks/systems/articles/openssh_updated.html