Arti peringatan
Server membuktikan identitasnya dengan kunci host. Jika kunci berbeda dari yang sebelumnya disimpan klien, OpenSSH menampilkan REMOTE HOST IDENTIFICATION HAS CHANGED dan menolak koneksi. Klien tidak dapat membedakan perubahan yang tidak berbahaya dari serangan, jadi anggap peringatan belum terselesaikan sampai Anda memeriksanya.
Penyebab umum
Penyebab lazimnya adalah server yang dipasang ulang, VM yang dipulihkan atau diklon dari citra, alamat yang kini diberikan ke mesin lain, dan penyeimbang beban yang mengarahkan Anda ke node berbeda. Penyerang yang menyadap koneksi menimbulkan peringatan yang sama. Jika tidak mengharapkan perubahan, berhenti dan jangan masukkan kata sandi.
Bandingkan sidik jari
Baca sidik jari yang sebenarnya pada server melalui saluran yang tidak bergantung pada koneksi SSH ini, misalnya konsol penyedia atau konsol hypervisor. Perintah ssh-keyscan hanya menampilkan apa yang disajikan jaringan kepada Anda, sehingga tidak membuktikan apa pun dengan sendirinya. Perintah ini hanya berguna untuk membandingkan dengan nilai dari konsol.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Ganti entri lama
Hanya setelah sidik jari cocok, hapus entri lama dan sambungkan kembali. Port nonstandar memiliki entri tersendiri yang ditulis dengan tanda kurung siku. ssh-keygen menyimpan berkas sebelumnya sebagai known_hosts.old. Jangan matikan StrictHostKeyChecking dan jangan hapus seluruh berkas known_hosts, karena tindakan itu menghilangkan perlindungan untuk semua server Anda.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleHindari peringatan setelah pemasangan ulang
Jika berencana membangun ulang server dan ingin mempertahankan identitasnya, cadangkan kunci host di /etc/ssh dengan aman dan pulihkan dengan pemilik serta izin yang sama. Untuk klon, lakukan sebaliknya: setiap mesin yang dibuat dari satu citra memerlukan kunci host sendiri, agar beberapa server tidak berbagi satu identitas.
Kunci host di CH-J Server Manager
Aplikasi menyimpan sidik jari SHA-256 kunci host di brankas terenkripsinya, terpisah dari berkas known_hosts OpenSSH. Saat terjadi perubahan, aplikasi memblokir koneksi dan menampilkan sidik jari yang dikenal serta yang baru. Entri hanya diganti jika Anda mengonfirmasi; pembatalan tidak mengubah apa pun. Pada Alpha 0.1.1 pemeriksaan juga mencakup setiap jump host, dan transfer yang sedang berjalan berhenti saat kunci berubah. Aplikasi tidak dapat memverifikasi sidik jari baru untuk Anda, sehingga pemeriksaan melalui saluran lain tetap menjadi tanggung jawab Anda.