Maksud amaran tersebut
Pelayan membuktikan identitinya dengan kunci hos. Apabila kunci berbeza daripada yang disimpan oleh klien sebelum ini, OpenSSH memaparkan REMOTE HOST IDENTIFICATION HAS CHANGED dan menolak sambungan. Klien tidak dapat membezakan perubahan yang tidak berbahaya daripada serangan, jadi anggap amaran itu belum diselesaikan sehingga anda menyemaknya.
Punca yang lazim
Punca biasa ialah pelayan yang dipasang semula, VM yang dipulihkan atau diklon daripada imej, alamat yang kini diberikan kepada mesin lain dan pengimbang beban yang menghantar anda ke nod berlainan. Penyerang yang memintas sambungan menghasilkan amaran yang sama. Jika anda tidak menjangkakan perubahan, berhenti dan jangan masukkan kata laluan.
Bandingkan cap jari
Baca cap jari sebenar pada pelayan melalui saluran yang tidak bergantung pada sambungan SSH ini, seperti konsol penyedia atau konsol hipervisor. Perintah ssh-keyscan hanya menunjukkan apa yang diberikan oleh rangkaian kepada anda, jadi ia tidak membuktikan apa-apa dengan sendirinya. Ia hanya berguna untuk perbandingan dengan nilai daripada konsol.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Gantikan entri lama
Hanya selepas cap jari sepadan, buang entri lama dan sambung semula. Port bukan standard mempunyai entri sendiri yang ditulis dengan kurungan siku. ssh-keygen menyimpan fail sebelumnya sebagai known_hosts.old. Jangan matikan StrictHostKeyChecking dan jangan padam seluruh fail known_hosts kerana tindakan itu menghapuskan perlindungan untuk semua pelayan anda.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleElakkan amaran selepas pemasangan semula
Jika anda merancang untuk membina semula pelayan dan mahu mengekalkan identitinya, sandarkan kunci hos dalam /etc/ssh dengan selamat dan pulihkannya dengan pemilik serta keizinan yang sama. Lakukan sebaliknya untuk klon: setiap mesin yang dibuat daripada satu imej memerlukan kunci hosnya sendiri, jika tidak beberapa pelayan akan berkongsi satu identiti.
Kunci hos dalam CH-J Server Manager
Aplikasi menyimpan cap jari SHA-256 kunci hos dalam peti simpanannya yang disulitkan, berasingan daripada fail known_hosts OpenSSH. Apabila berlaku perubahan, aplikasi menyekat sambungan dan memaparkan cap jari yang diketahui serta yang baharu. Entri hanya diganti jika anda mengesahkannya; pembatalan tidak mengubah apa-apa. Dalam Alpha 0.1.1 semakan turut meliputi setiap hos perantara, dan pemindahan yang sedang berjalan berhenti apabila kunci berubah. Aplikasi tidak dapat mengesahkan cap jari baharu bagi pihak anda, jadi semakan melalui saluran lain tetap menjadi tanggungjawab anda.