53、SSH可扩展认证：PKI与Kerberos的应用

SSH可扩展认证：PKI与Kerberos的应用

1. PKI认证系统在SSH中的应用

在SSH认证中，管理不断变化的已知主机列表是一项繁琐的任务，而分发或更新一个不常改变的单个密钥则相对容易得多。下面我们通过一个简单的示例，详细介绍如何使用公钥基础设施（PKI）实现SSH的可扩展认证。

1.1 简单配置

假设我们在Linux主机上安装了一个新的Tectia Server实例。首先，我们需要生成带有证书的主机密钥。这一过程会受到实际使用的PKI系统的影响，实际应用中可能会使用从自制CA（利用大多数Unix变体自带的免费OpenSSL软件）到外包给主要安全供应商的托管PKI服务等多种不同的系统，这些系统可能涉及多层级结构、组织间交叉认证、独立的注册机构和私钥托管等。

若PKI使用证书管理协议（CMP，RFC - 2510），可以使用 ssh - cmpclient 与PKI系统进行通信，包括生成密钥、请求、接收、撤销或更新证书等操作。为简化示例，我们采用一种较旧但仍广泛使用的方法：使用OpenSSL生成密钥对和证书请求，然后通过简单方式（如电子邮件或Web）将其提供给CA。

1.2 获取证书

假设公司为Vogon Construction, Inc.，服务器主机名为 jeltz.vcon.com 。使用以下命令生成密钥对和证书请求：

% openssl req -nodes -config -new rsa:1024 -out request.pem \
  -outform p