Mit jelez a figyelmeztetés
A szerver gépkulccsal igazolja a személyazonosságát. Ha a kulcs eltér attól, amelyet a kliens korábban elmentett, az OpenSSH a REMOTE HOST IDENTIFICATION HAS CHANGED üzenetet jeleníti meg, és elutasítja a kapcsolatot. A kliens nem tud különbséget tenni ártalmatlan változás és támadás között, ezért az ellenőrzésig tekintse megoldatlannak a figyelmeztetést.
Gyakori okok
A szokásos okok: újratelepített szerver, lemezképből visszaállított vagy klónozott virtuális gép, immár másik géphez rendelt cím, illetve különböző csomópontokra irányító terheléselosztó. A kapcsolatot elfogó támadó ugyanilyen figyelmeztetést okoz. Ha nem számított változásra, álljon meg, és ne adjon meg jelszót.
Hasonlítsa össze az ujjlenyomatokat
Olvassa ki a valódi ujjlenyomatot a szerveren egy olyan csatornán, amely nem ettől az SSH-kapcsolattól függ, például a szolgáltató vagy a hipervizor konzolján. Az ssh-keyscan parancs csak azt mutatja, amit a hálózat bemutat Önnek, ezért önmagában semmit sem bizonyít. Csak a konzolról származó értékkel való összehasonlításra hasznos.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Cserélje le a régi bejegyzést
Csak az ujjlenyomatok egyezése után távolítsa el a régi bejegyzést, majd csatlakozzon újra. A nem szabványos porthoz külön, szögletes zárójelekkel írt bejegyzés tartozik. Az ssh-keygen a korábbi fájlt known_hosts.old néven megőrzi. Ne kapcsolja ki a StrictHostKeyChecking beállítást, és ne törölje az egész known_hosts fájlt, mert ezzel minden szerverének védelmét eltávolítja.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleKerülje el a figyelmeztetést újratelepítés után
Ha a szerver újraépítését tervezi, és meg szeretné őrizni az identitását, készítsen biztonságos mentést a /etc/ssh könyvtárban lévő gépkulcsokról, és ugyanazzal a tulajdonossal és jogosultságokkal állítsa vissza őket. Klónoknál az ellenkezőjét tegye: az egy lemezképből készült gépek mindegyikének saját gépkulcsokra van szüksége, különben több szerver osztozik egy identitáson.
Gépkulcsok a CH-J Server Manager alkalmazásban
Az alkalmazás a gépkulcsok SHA-256 ujjlenyomatait a titkosított tárolójában őrzi, az OpenSSH known_hosts fájljától elkülönítve. Változáskor blokkolja a kapcsolatot, és megjeleníti az ismert és az új ujjlenyomatot. A bejegyzés csak az Ön megerősítésével cserélődik le, a megszakítás semmin nem változtat. Az Alpha 0.1.1 minden köztes ugrógépet is ellenőriz, és kulcsváltozáskor leállítja a folyamatban lévő átvitelt. Az alkalmazás nem tudja Ön helyett igazolni az új ujjlenyomatot, ezért a másik csatornán végzett ellenőrzés továbbra is az Ön feladata.