Kaj pove opozorilo
Strežnik dokazuje svojo identiteto s ključem gostitelja. Ko se ključ razlikuje od tistega, ki ga je odjemalec shranil prej, OpenSSH prikaže REMOTE HOST IDENTIFICATION HAS CHANGED in zavrne povezavo. Odjemalec ne more razlikovati med neškodljivo spremembo in napadom, zato opozorilo obravnavajte kot nerešeno, dokler ga ne preverite.
Pogosti vzroki
Običajni vzroki so ponovno nameščen strežnik, navidezni stroj, obnovljen ali kloniran iz slike, naslov, ki je zdaj dodeljen drugemu računalniku, in izravnalnik obremenitve, ki vas pošilja na različna vozlišča. Enako opozorilo povzroči napadalec, ki prestreza povezavo. Če spremembe niste pričakovali, se ustavite in ne vnašajte gesla.
Primerjajte prstne odtise
Pravi prstni odtis preberite na strežniku po kanalu, ki ni odvisen od te povezave SSH, na primer prek konzole ponudnika ali hipervizorja. Ukaz ssh-keyscan pokaže samo, kaj vam ponuja omrežje, zato sam po sebi ne dokazuje ničesar. Uporaben je le za primerjavo z vrednostjo iz konzole.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Zamenjajte stari vnos
Šele ko se prstna odtisa ujemata, odstranite stari vnos in se znova povežite. Nestandardna vrata imajo lasten vnos, zapisan z oglatimi oklepaji. ssh-keygen ohrani prejšnjo datoteko kot known_hosts.old. Ne izklapljajte StrictHostKeyChecking in ne izbrišite celotne datoteke known_hosts, ker s tem odstranite zaščito za vse svoje strežnike.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.examplePreprečite opozorilo po ponovni namestitvi
Če nameravate strežnik postaviti na novo in želite ohraniti njegovo identiteto, varno varnostno kopirajte ključe gostitelja v /etc/ssh in jih obnovite z istim lastnikom in dovoljenji. Pri klonih ravnajte nasprotno: vsak računalnik, ustvarjen iz iste slike, potrebuje svoje ključe gostitelja, sicer več strežnikov deli eno identiteto.
Ključi gostitelja v CH-J Server Manager
Aplikacija shranjuje prstne odtise SHA-256 ključev gostitelja v svojem šifriranem trezorju, ločeno od datoteke known_hosts za OpenSSH. Ob spremembi blokira povezavo ter pokaže znani in novi prstni odtis. Vnos zamenja samo, če potrdite, preklic pa ne spremeni ničesar. V Alpha 0.1.1 preverjanje zajema tudi vsakega vmesnega gostitelja, prenos v teku pa se ob spremembi ključa ustavi. Aplikacija ne more preveriti novega prstnega odtisa namesto vas, zato je preverjanje po drugem kanalu še vedno vaša naloga.