Open Secure Shell（OpenSSH）是网络连接工具SSH协议套件的开源版本。 这些工具提供经过身份验证和加密的外壳程序功能。 Shell是命令语言解释器，可从命令行字符串，stdin或文件中读取输入。 为什么要使用OpenSSH？ 在不安全的公共网络（如Internet）上运行时，可以使用SSH命令套件而不是不安全的命令telnet，ftp和r命令。
OpenSSH提供了使用SSH1和SSH2协议进行通信的代码。 有什么不同？ SSH2协议是SSH1的重写。 SSH2包含单独的分层协议，但是SSH1是一大套代码。 SSH2同时支持RSA和DSA密钥，但是SSH1仅支持RSA，并且SSH2使用强加密完整性检查，其中SSH1使用CRC-32检查。 Internet工程任务组（IETF）维护安全外壳标准。
OpenSSH已从openssh.org更新为开放源代码的3.4p1版本。 您可以从AIX上的OpenSSH下载它。
主要的新功能是用户特权分离，这是一项安全性增强功能，它通过减少使用特殊特权运行的代码量来防止超级用户升级风险。 默认情况下，在OpenSSH服务器配置文件/etc/ssh/sshd_config启用用户特权分离：
#UsePrivilegeSeparation yes它的工作方式是为每个连接创建一个单独的服务器进程，并且当来自客户端的请求时， ssh监视进程派生一个未特权的子进程，该子进程处理来自客户端的所有请求。 如果客户端的请求需要超级用户特权，则将请求发送到特权监视进程。 当您查看SSH进程启动时，您将看到sshd守护程序用于监视进程和客户端拥有的非特权进程。 有关特权分离的更多详细信息，请参阅Niels Provos在2002年8月发表的文章“ 防止特权升级” 。
由于AIX 5.2是AIX操作系统的新版本，因此在此操作系统级别上完成了OpenSSH源代码的单独编译。 5.2级代码的VRMF是3.4.0.5200，以区分安装映像和5.1版本。 如果从AIX 5.1迁移到AIX 5.2，新的VRMF也将提供帮助。 OpenSSH使用C for AIX (cc) 5.0编译器进行编译。 安装映像的VRMF将与开放源代码级别紧密匹配，但“ F”（修复级别）除外。 每次发布包含主要开放源代码发行版之间的修复程序的版本时，修订级别都会提高。 例如，如果我们将代码的3.4p1级别更改为包含开放源代码的3.5级别的补丁，则“ F”将增加（例如3.4.0.5201）。
自2002年4月发布最初的2.9.9版本以来，OpenSSH源代码已通过启用国家语言支持（NLS）进行了增强。在2002年10月版本中，消息目录文件openssh.cat已被翻译成35种语言。 消息目录文件以installp格式打包，名称类似于openssh.msg。<LANGUAGE_ABBREVIATION>，其中LANGUAGE_ABBREVIATION是该国家/地区的4个字符的语言环境代码（例如DE_DE是UTF德语）。 消息目录文件集可从AIX 5L扩展包和Web下载包获得，并捆绑在.tar.Z文件中。 在不同语言环境上安装OpenSSH文件集时，安装软件installp确定要安装的消息目录文件集的正确版本，并且将转换后的消息目录文件复制到/ usr / lib / nls / msg / <LANGUAGE_ABBREVIATION>中。
在最新的OpenSSH版本3.4p1二进制文件中，我们从openssh.org站点提供了一些特定于AIX的补丁程序。 修补程序适用于以下修复程序：
强制执行密码过期 更新文件/ etc / security / login和登录失败 更新了失败的登录计数 LOGIN环境变量集 流式传输大量数据不再使会话挂起由于AIX 5.2完全支持可插入身份验证模块（PAM），因此OpenSSH 3.4.0.5200已使用PAM支持进行编译。 PAM是一个框架，系统管理员可以在该框架中通过编写自定义模块并配置系统以使用它们来添加或堆叠多个不同的身份验证模块。 在AIX 5.2上，PAM框架由一个库，可插入模块和一个配置文件组成。 由于OpenSSH是使用PAM编译的，因此将在openssh.base.server软件包安装时在服务器上创建配置文件/etc/pam.conf 。 （将来，/ /etc/pam.conf将在openssh.base.server安装时创建）。
缺省的PAM模块可以是pam_aix ，其中pam_aix由基本的AIX操作系统提供（自动安装在/usr/lib/security AIX 5.2上）。 pam_aix模块通过提供对AIX内置功能（如AIX pam_aix authentication()调用pam_aix authentication()访问，允许访问AIX安全服务。 用于OpenSSH的/etc/pam.conf如下所示：
sshd auth required /usr/lib/security/pam_aix OTHER auth required /usr/lib/security/pam_aix sshd account required /usr/lib/security/pam_aix OTHER account required /usr/lib/security/pam_aix sshd password required /usr/lib/security/pam_aix OTHER password required /usr/lib/security/pam_aix sshd session required /usr/lib/security/pam_aix OTHER session required /usr/lib/security/pam_aix/etc/pam.conf的权限为644。
加密应用取决于随机数。 如果随机数不是高度随机并且在生成期间未受到保护，则加密的安全性可能会减弱。
AIX 5.1上的OpenSSH是使用OpenSSH源代码（ ssh-rand-helper ）提供的熵收集机制（随机数）编译的，而AIX 4.3.3（AIX Linux Toolbox）使用的是PRNGD开源守护程序（ prngd-0.9.23-3.aix4.3.ppc.rpm package ）。
AIX 5.2基本安全性提供了新的伪随机数生成器设备/dev/random和/dev/urandomM ，伪设备驱动程序和配置例程，这些例程选择各种硬件设备中断来提供熵。 编译了AIX 5.2中的OpenSSH以利用新设备/dev/urandom 。 您还需要最新的OpenSSL版本openssl-0.9.6e-2.aix4.3.ppc.rpm （AIX Linux工具箱），OpenSSH才能使用/dev/urandom device 。
四个安装包包含代码的installp格式：
安装包 描述 openssh.base 包含客户端和服务器安全外壳程序的二进制可执行文件。 有两个单独的文件集， openssh.base.client和openssh.base.server 。 您可能只安装了客户端部分，但是如果安装了服务器部分，则会自动安装客户端部分。 Penssh.license IPLA不受限制的程序服务许可文本的约束。 该文件集可确保您在安装之前阅读并接受软件许可证。 openssh.man.en_US openssh.org源代码随附的手册页。 手册页安装在/usr/share/man目录中，可以使用man命令进行查看。 每个命令以及ssh_config和sshd_config配置文件都有手册页。 openssh.msg。<LANGUAGE_ABBREVIATION> 翻译的消息目录文件。 唯一安装的.msg文件集与您在操作系统上安装的语言环境有关。安装包中包含将可执行文件安装到正确目录中所需的脚本。
以下文件位于openssh.base.client文件集中，并安装在/usr/bin ：
ssh scp sftp ssh-add ssh-keygen ssh-keyscan ssh-agent ssh-keysign ssh-rand-helper以下文件位于openssh.base.server文件集中，并安装在/usr/sbin ：
sshd sftp-server以下配置文件安装在/etc/ssh ：
ssh_config sshd_config包装在3.4p1的代码级别上创建服务器执行所需的sshd用户，组和/var/empty目录。 打包还启用守护程序的SRC控制，生成主机密钥并在安装前检查OpenSSL的先决条件。
翻译自: https://www.ibm.com/developerworks/systems/articles/openssh_updated.html
相关资源：AIX OpenSSH7.5升级包