Vad varningen säger
En server styrker sin identitet med en värdnyckel. När nyckeln skiljer sig från den som klienten sparat tidigare visar OpenSSH REMOTE HOST IDENTIFICATION HAS CHANGED och nekar anslutningen. Klienten kan inte skilja en ofarlig ändring från en attack, så betrakta varningen som olöst tills du har kontrollerat den.
Vanliga orsaker
Vanliga orsaker är en ominstallerad server, en virtuell maskin som återställts eller klonats från en avbildning, en adress som nu tilldelats en annan maskin och en lastbalanserare som skickar dig till olika noder. En angripare som avlyssnar och griper in i anslutningen ger samma varning. Om du inte väntade dig en ändring ska du avbryta och inte ange något lösenord.
Jämför fingeravtrycken
Läs av det verkliga fingeravtrycket på servern via en kanal som inte är beroende av den här SSH-anslutningen, till exempel leverantörens konsol eller hypervisorns konsol. Kommandot ssh-keyscan visar bara vad nätverket presenterar för dig och bevisar därför ingenting på egen hand. Det är bara användbart för jämförelse med värdet från konsolen.
sudo ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
ssh-keyscan -t ed25519 server.example | ssh-keygen -lf -Ersätt den gamla posten
Först när fingeravtrycken stämmer överens tar du bort den gamla posten och ansluter igen. En port som avviker från standardporten har en egen post skriven med hakparenteser. ssh-keygen behåller den tidigare filen som known_hosts.old. Stäng inte av StrictHostKeyChecking och radera inte hela known_hosts-filen, eftersom det tar bort skyddet för alla dina servrar.
ssh-keygen -R server.example
ssh-keygen -R '[server.example]:2222'
ssh user@server.exampleUndvik varningen efter en ominstallation
Om du planerar att installera om en server och vill behålla dess identitet ska du säkerhetskopiera värdnycklarna i /etc/ssh på ett säkert sätt och återställa dem med samma ägare och behörigheter. Gör tvärtom med kloner: varje maskin som skapas från samma avbildning behöver egna värdnycklar, annars delar flera servrar samma identitet.
Värdnycklar i CH-J Server Manager
Appen lagrar värdnycklarnas SHA-256-fingeravtryck i sitt krypterade valv, separat från OpenSSH-filen known_hosts. Vid en ändring blockerar den anslutningen och visar det kända och det nya fingeravtrycket. Posten ersätts bara om du bekräftar, och om du avbryter ändras ingenting. I Alpha 0.1.1 omfattar kontrollen också varje hoppvärd, och en pågående överföring stoppas om nyckeln ändras. Appen kan inte verifiera det nya fingeravtrycket åt dig, så kontrollen via en annan kanal är fortfarande ditt ansvar.