Mitä varoitus kertoo
Palvelin todistaa identiteettinsä isäntäavaimella. Kun avain eroaa asiakkaasi aiemmin tallentamasta avaimesta, OpenSSH näyttää ilmoituksen REMOTE HOST IDENTIFICATION HAS CHANGED ja estää yhteyden. Asiakas ei pysty erottamaan harmitonta muutosta hyökkäyksestä, joten pidä varoitusta selvittämättömänä, kunnes olet tarkistanut asian.
Yleiset syyt
Tavallisia syitä ovat palvelimen uudelleenasennus, levykuvasta palautettu tai kloonattu virtuaalikone, toiselle koneelle siirtynyt osoite ja kuormantasaaja, joka ohjaa sinut eri solmuihin. Yhteyden kaappaava hyökkääjä aiheuttaa saman varoituksen. Jos et odottanut muutosta, pysähdy äläkä anna salasanaa.
Vertaa sormenjälkiä
Lue todellinen sormenjälki palvelimelta kanavalla, joka ei ole riippuvainen tästä SSH-yhteydestä, esimerkiksi palveluntarjoajan tai hypervisorin konsolista. Komento ssh-keyscan näyttää vain sen, mitä verkko sinulle esittää, joten se ei yksin todista mitään. Siitä on hyötyä vain verrattaessa arvoa konsolista saatuun arvoon.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Korvaa vanha merkintä
Poista vanha merkintä ja muodosta yhteys uudelleen vasta, kun sormenjäljet täsmäävät. Oletuksesta poikkeavalla portilla on oma hakasulkeita käyttävä merkintänsä. ssh-keygen säilyttää aiemman tiedoston nimellä known_hosts.old. Älä poista StrictHostKeyChecking-asetusta käytöstä äläkä poista koko known_hosts-tiedostoa, koska silloin poistat kaikkien palvelimiesi suojauksen.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleVältä varoitus uudelleenasennuksen jälkeen
Jos aiot asentaa palvelimen uudelleen ja haluat säilyttää sen identiteetin, varmuuskopioi hakemistossa /etc/ssh olevat isäntäavaimet turvallisesti ja palauta ne samalla omistajalla ja samoilla oikeuksilla. Toimi kloonien kohdalla päinvastoin: jokainen samasta levykuvasta luotu kone tarvitsee omat isäntäavaimensa, muuten useat palvelimet jakavat saman identiteetin.
Isäntäavaimet CH-J Server Manager -sovelluksessa
Sovellus tallentaa isäntäavainten SHA-256-sormenjäljet salattuun holviinsa erillään OpenSSH-ohjelman known_hosts-tiedostosta. Avaimen muuttuessa se estää yhteyden ja näyttää tunnetun sekä uuden sormenjäljen. Merkintä korvataan vain vahvistuksellasi, eikä peruuttaminen muuta mitään. Alpha 0.1.1 tarkistaa myös jokaisen hyppypalvelimen, ja käynnissä oleva siirto pysähtyy avaimen muuttuessa. Sovellus ei voi varmentaa uutta sormenjälkeä puolestasi, joten tarkistus toisella kanavalla jää sinun tehtäväksesi.