Mida hoiatus ütleb
Server tõendab oma identiteeti hostivõtmega. Kui võti erineb sellest, mille su klient varem salvestas, kuvab OpenSSH teate REMOTE HOST IDENTIFICATION HAS CHANGED ja keeldub ühendusest. Klient ei suuda eristada ohutut muudatust ründest, seega käsitle hoiatust lahendamata küsimusena, kuni oled asja kontrollinud.
Levinud põhjused
Tavalised põhjused on uuesti paigaldatud server, tõmmisest taastatud või kloonitud virtuaalmasin, nüüd teisele masinale määratud aadress ja koormusjaotur, mis suunab sind eri sõlmedesse. Ühendust pealtkuulav ründaja põhjustab sama hoiatuse. Kui sa muudatust ei oodanud, peatu ja ära sisesta parooli.
Võrdle sõrmejälgi
Loe serveri tegelik sõrmejälg kanali kaudu, mis ei sõltu sellest SSH-ühendusest, näiteks teenusepakkuja või hüperviisori konsoolist. Käsk ssh-keyscan näitab ainult seda, mida võrk sulle esitab, seega ei tõenda see üksi midagi. Sellest on kasu vaid konsoolist saadud väärtusega võrdlemiseks.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Asenda vana kirje
Eemalda vana kirje alles siis, kui sõrmejäljed kattuvad, ja loo ühendus uuesti. Mittestandardsel pordil on oma kirje, milles kasutatakse nurksulge. ssh-keygen säilitab eelmise faili nimega known_hosts.old. Ära lülita välja seadet StrictHostKeyChecking ega kustuta kogu faili known_hosts, sest nii eemaldad kaitse kõigilt oma serveritelt.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleVäldi hoiatust pärast taaspaigaldust
Kui kavatsed serveri uuesti paigaldada ja soovid säilitada selle identiteedi, varunda kataloogis /etc/ssh olevad hostivõtmed turvaliselt ning taasta need sama omaniku ja õigustega. Kloonide puhul toimi vastupidi: iga samast tõmmisest loodud masin vajab oma hostivõtmeid, vastasel juhul jagavad mitu serverit ühte identiteeti.
Hostivõtmed rakenduses CH-J Server Manager
Rakendus salvestab hostivõtmete SHA-256-sõrmejäljed oma krüptitud turvahoidlasse, eraldi OpenSSH failist known_hosts. Muudatuse korral blokeerib see ühenduse ning näitab teadaolevat ja uut sõrmejälge. Kirje asendatakse ainult sinu kinnituse korral ja tühistamine ei muuda midagi. Alpha 0.1.1 puhul hõlmab kontroll ka iga hüppeserverit ning pooleliolev edastus peatub võtme muutumisel. Rakendus ei saa uut sõrmejälge sinu eest kontrollida, seega jääb teise kanali kaudu kontrollimine sinu ülesandeks.