SecureCRT 在 Debian 上的加密与加固指南
一 概念澄清
- SecureCRT 是运行在 Windows/macOS/Linux 上的终端模拟器，负责与远端主机建立加密通道；所谓“加密”通常指两件事：
- 客户端与服务器之间的传输加密（SSH 协议协商与算法选择）；
- 客户端本地对会话密码/敏感字段的存储加密（SecureCRT 配置口令保护）。
- Debian 作为远端主机时，需要正确配置 OpenSSH 服务 的加密与认证策略；作为客户端时，Debian 上安装的 SecureCRT 遵循与在其他平台一致的加密配置思路。
二 传输层加密与认证配置
-
服务器侧（Debian 上的 OpenSSH）
- 安装与基础配置：
- 安装服务：
sudo apt-get update && sudo apt-get install openssh-server
- 编辑配置：
sudo nano /etc/ssh/sshd_config，建议至少启用：
Protocol 2（仅使用 SSH2）PubkeyAuthentication yes（允许公钥认证）PasswordAuthentication no（禁用口令登录，强制密钥）- 可选：
KexAlgorithms curve25519-sha256,ecdh-sha2-nistp521,ecdh-sha2-nistp384,ecdh-sha2-nistp256（优先椭圆曲线密钥交换）
- 可选：
Ciphers aes256-gcm@openssh.com,aes128-gcm@openssh.com,chacha20-poly1305@openssh.com,aes256-ctr,aes192-ctr,aes128-ctr（优先 AEAD/GCM 与强 CTR）
- 可选：
MACs hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com（启用加密 MAC）
- 重启服务：
sudo systemctl restart ssh
- 用户侧公钥部署（示例）：
- 本地生成密钥：
ssh-keygen -t ed25519 -C "you@example.com"（或 ssh-keygen -t rsa -b 4096）
- 将公钥上传至 Debian：
ssh-copy-id user@debian-host，或在服务器 ~/.ssh/authorized_keys 中追加公钥内容。
- 完成后，使用密钥登录，必要时为私钥设置 passphrase 提升本地安全性。
- 说明：禁用口令登录前务必先验证密钥可正常登录，避免被锁。
-
客户端侧（SecureCRT 会话设置）
- 新建会话：File > New Connection > 选择 SSH2，填写主机、端口。
- 认证方式：Session Options > Authentication，优先勾选 PublicKey，导入私钥（OpenSSH 格式，通常为
id_rsa/id_ed25519）；如需口令，再启用 Password。
- 加密算法：Session Options > SSH2，将 Encryption 顺序调整为优先 AES-256-GCM / AES-128-GCM / ChaCha20-Poly1305，其后才是 AES-CTR 等；在 Key Exchange 中优先 curve25519-sha256 等；在 MAC 中优先 HMAC-SHA2-512-etm 等。
- 保存会话并测试连接。
三 本地密码存储加密与口令恢复
- SecureCRT 支持用“配置口令（Config Passphrase）”对会话中的密码等敏感信息进行本地加密存储。新版（社区称为 SecureCRTCryptoV2）采用：
- 加密算法：AES-256-CBC；
- 密钥派生：对“配置口令”计算 SHA-256 得到 32 字节密钥；
- 模式细节：常见实现为 IV 全零，并在明文前附加 4 字节小端长度与末尾 32 字节 SHA-256 校验；解密失败多与口令错误或密文损坏有关。
- 安全建议：
- 为 SecureCRT 设置强 配置口令 并妥善备份；
- 定期更新 SecureCRT 版本，避免已知实现缺陷；
- 如需迁移/恢复，请在确保合法合规与授权的前提下，使用相同版本的 SecureCRT 与相同配置口令进行。
四 常见加固项
- 会话侧：启用会话日志（Log），设置合理的回滚缓冲区（如 5000 行），禁用右键粘贴、启用“选择复制”，并配置会话超时与自动断开，降低误操作与信息泄露风险。
- 主机侧：保持 OpenSSH 与系统补丁为最新；仅开放必要端口与来源 IP；使用 Fail2Ban 等防止暴力破解；对高价值账户强制 密钥登录 + 禁用口令。
