Čo upozornenie hovorí
Server preukazuje svoju identitu kľúčom hostiteľa. Ak sa kľúč líši od toho, ktorý si klient uložil predtým, OpenSSH zobrazí REMOTE HOST IDENTIFICATION HAS CHANGED a odmietne pripojenie. Klient nedokáže odlíšiť neškodnú zmenu od útoku, preto považujte upozornenie za nevyriešené, kým ho nepreveríte.
Bežné príčiny
Zvyčajnými príčinami sú preinštalovaný server, virtuálny stroj obnovený alebo klonovaný z obrazu, adresa teraz pridelená inému počítaču a vyvažovač záťaže, ktorý vás smeruje na rôzne uzly. Rovnaké upozornenie vyvolá aj útočník zachytávajúci spojenie. Ak ste zmenu neočakávali, zastavte sa a nezadávajte heslo.
Porovnajte odtlačky
Skutočný odtlačok zistite na serveri cez kanál, ktorý nezávisí od tohto SSH spojenia, napríklad cez konzolu poskytovateľa alebo hypervízora. Príkaz ssh-keyscan ukazuje len to, čo vám predkladá sieť, takže sám osebe nič nedokazuje. Užitočný je iba na porovnanie s hodnotou z konzoly.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Nahraďte starý záznam
Až po zhode odtlačkov odstráňte starý záznam a znova sa pripojte. Neštandardný port má vlastný záznam zapísaný s hranatými zátvorkami. ssh-keygen uchová predchádzajúci súbor ako known_hosts.old. Nevypínajte StrictHostKeyChecking a nemažte celý súbor known_hosts, pretože tým odstránite ochranu pre všetky svoje servery.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.examplePredíďte upozorneniu po preinštalovaní
Ak plánujete server nanovo nainštalovať a chcete zachovať jeho identitu, bezpečne zálohujte kľúče hostiteľa v /etc/ssh a obnovte ich s rovnakým vlastníkom a oprávneniami. Pri klonoch postupujte opačne: každý počítač vytvorený z jedného obrazu potrebuje vlastné kľúče hostiteľa, inak viaceré servery zdieľajú jednu identitu.
Kľúče hostiteľa v CH-J Server Manager
Aplikácia ukladá odtlačky SHA-256 kľúčov hostiteľa do svojho šifrovaného trezora oddelene od súboru known_hosts nástroja OpenSSH. Pri zmene zablokuje spojenie a zobrazí známy aj nový odtlačok. Záznam sa nahradí iba po vašom potvrdení a zrušenie nič nezmení. V Alpha 0.1.1 kontrola zahŕňa aj každý prepojovací server a prebiehajúci prenos sa pri zmene kľúča zastaví. Aplikácia nemôže overiť nový odtlačok za vás, takže kontrola cez iný kanál zostáva vašou úlohou.