Ce spune avertismentul
Un server își dovedește identitatea cu o cheie a gazdei. Când cheia diferă de cea salvată anterior de client, OpenSSH afișează REMOTE HOST IDENTIFICATION HAS CHANGED și refuză conexiunea. Clientul nu poate deosebi o schimbare inofensivă de un atac, așa că tratează avertismentul ca pe o problemă nerezolvată până când faci verificarea.
Cauze frecvente
Cauzele obișnuite sunt un server reinstalat, o mașină virtuală restaurată sau clonată dintr-o imagine, o adresă atribuită acum altei mașini și un distribuitor de sarcină care te trimite către noduri diferite. Un atacator care interceptează conexiunea produce același avertisment. Dacă nu te așteptai la o schimbare, oprește-te și nu introduce o parolă.
Compară amprentele
Citește amprenta reală pe server printr-un canal care nu depinde de această conexiune SSH, cum ar fi consola furnizorului sau consola unui hipervizor. Comanda ssh-keyscan arată doar ceea ce îți prezintă rețeaua, deci nu dovedește nimic de una singură. Este utilă doar pentru comparația cu valoarea obținută din consolă.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Înlocuiește intrarea veche
Abia după ce amprentele coincid, elimină intrarea veche și conectează-te din nou. Un port nestandard are propria intrare scrisă cu paranteze pătrate. ssh-keygen păstrează fișierul anterior ca known_hosts.old. Nu dezactiva StrictHostKeyChecking și nu șterge întregul fișier known_hosts, deoarece astfel elimini protecția pentru toate serverele tale.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleEvită avertismentul după o reinstalare
Dacă plănuiești să reconstruiești un server și vrei să îi păstrezi identitatea, fă în siguranță o copie de rezervă a cheilor gazdei din /etc/ssh și restaurează-le cu același proprietar și aceleași permisiuni. Procedează invers cu clonele: fiecare mașină creată din aceeași imagine are nevoie de propriile chei ale gazdei, altfel mai multe servere folosesc aceeași identitate.
Cheile gazdei în CH-J Server Manager
Aplicația stochează amprentele SHA-256 ale cheilor gazdei în seiful său criptat, separat de fișierul known_hosts al OpenSSH. La o schimbare, blochează conexiunea și afișează amprenta cunoscută și pe cea nouă. Intrarea este înlocuită numai dacă confirmi, iar anularea nu schimbă nimic. În Alpha 0.1.1, verificarea acoperă și fiecare server intermediar, iar un transfer în curs se oprește când cheia se schimbă. Aplicația nu poate verifica noua amprentă în locul tău, așa că verificarea printr-un alt canal rămâne sarcina ta.