X’tgħid it-twissija
Server jipprova l-identità tiegħu b’ċavetta tal-host. Meta ċ-ċavetta tkun differenti minn dik li l-klijent tiegħek salva qabel, OpenSSH juri REMOTE HOST IDENTIFICATION HAS CHANGED u jirrifjuta l-konnessjoni. Il-klijent ma jistax jiddistingwi bidla li ma tagħmilx ħsara minn attakk, għalhekk ittratta t-twissija bħala mhux solvuta sakemm tkun ivverifikajtha.
Kawżi komuni
Il-kawżi tas-soltu huma server installat mill-ġdid, VM restawrata jew ikklonata minn immaġni, indirizz li issa ġie assenjat lil magna differenti, u bilanċjatur tat-tagħbija li jibagħtek lejn nodi differenti. Attakkant li jinterċetta l-konnessjoni jipproduċi l-istess twissija. Jekk ma kontx qed tistenna bidla, ieqaf u ddaħħalx password.
Qabbel il-marki tas-swaba’
Aqra l-marka tas-swaba’ vera fuq is-server permezz ta’ kanal li ma jiddependix minn din il-konnessjoni SSH, bħall-console tal-fornitur jew console tal-hypervisor. Il-kmand ssh-keyscan juri biss dak li n-netwerk jippreżentalek, għalhekk waħdu ma jipprova xejn. Huwa utli biss biex tqabblu mal-valur mill-console.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Ibdel l-entrata l-qadima
Neħħi l-entrata l-qadima u erġa’ qabbad biss wara li l-marki tas-swaba’ jaqblu. Port mhux standard għandu l-entrata tiegħu miktuba b’parentesi kwadri. ssh-keygen iżomm il-fajl preċedenti bħala known_hosts.old. Tiddiżattivax StrictHostKeyChecking u tħassarx il-fajl known_hosts kollu, għax dan ineħħi l-protezzjoni għas-servers kollha tiegħek.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleEvita t-twissija wara installazzjoni mill-ġdid
Jekk qed tippjana li terġa’ tibni server u trid iżżomm l-identità tiegħu, agħmel kopja ta’ riżerva sigura taċ-ċwievet tal-host f’/etc/ssh u rrestawrahom bl-istess sid u permessi. Agħmel l-oppost bil-kloni: kull magna magħmula minn immaġni waħda teħtieġ iċ-ċwievet tal-host tagħha stess, inkella diversi servers jaqsmu identità waħda.
Ċwievet tal-host f’CH-J Server Manager
L-app taħżen marki tas-swaba’ SHA-256 taċ-ċwievet tal-host fil-ħażna sigura kriptata tagħha, separatament mill-fajl known_hosts ta’ OpenSSH. Meta jkun hemm bidla timblokka l-konnessjoni u turi l-marka tas-swaba’ magħrufa u dik ġdida. L-entrata tinbidel biss jekk tikkonferma, u l-kanċellazzjoni ma tbiddel xejn. F’Alpha 0.1.1 il-verifika tkopri wkoll kull jump host, u trasferiment li jkun għaddej jieqaf meta tinbidel iċ-ċavetta. L-app ma tistax tivverifika l-marka tas-swaba’ ġdida għalik, għalhekk il-verifika permezz ta’ kanal ieħor tibqa’ xogħlok.