วิธีการลบการตรวจสอบคีย์ RSA ที่เข้มงวดใน SSH และมีปัญหาอะไรที่นี่

ฉันมีเซิร์ฟเวอร์ Linux ที่เมื่อใดก็ตามที่ฉันเชื่อมต่อมันจะแสดงข้อความที่เปลี่ยนคีย์โฮสต์ SSH:

$ ssh root @ host1 @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @@@@@@@@@@@@@@ คำเตือน: การระบุตัวตนของโฮสต์ระยะไกลได้เปลี่ยนแล้ว! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ @@@@@@@@@ เป็นไปได้ว่าบางคนกำลังทำสิ่งที่น่ารังเกียจ! บางคนอาจกำลังดักฟังคุณอยู่ในขณะนี้ (การโจมตีแบบคนกลาง)! อาจเป็นไปได้ว่าคีย์โฮสต์ RSA เพิ่งมีการเปลี่ยนแปลง ลายนิ้วมือสำหรับคีย์ RSA ที่ส่งโดยโฮสต์ระยะไกลคือ 93: a2: 1b: 1c: 5f: 3e: 68: 47: bf: 79: 56: 52: f0: ec: 03: 6b กรุณาติดต่อผู้ดูแลระบบของคุณ เพิ่มคีย์โฮสต์ที่ถูกต้องใน /home/emerson/.ssh/known_hosts เพื่อกำจัดข้อความนี้ คีย์ที่ละเมิดใน /home/emerson/.ssh/known_hosts:377

คีย์โฮสต์ RSA สำหรับ host1 มีการเปลี่ยนแปลงและคุณได้ขอให้ตรวจสอบอย่างเข้มงวด การยืนยันคีย์โฮสต์ล้มเหลว

มันทำให้ฉันเข้าสู่ระบบไม่กี่วินาทีแล้วปิดการเชื่อมต่อ

host1: ~ / .ssh # อ่านจากรีโมตโฮสต์ host1: การเชื่อมต่อรีเซ็ตโดยเพียร์ปิดการเชื่อมต่อไปยัง host1

ไม่มีใครรู้ว่าเกิดอะไรขึ้นและฉันจะทำอย่างไรเพื่อแก้ปัญหานี้?

โปรดอย่าลบไฟล์ทั้งหมดรู้จัก _hosts ตามคำแนะนำของบางคนซึ่งจะทำให้เกิดการแจ้งเตือนทั้งหมด มันเป็นคุณสมบัติด้านความปลอดภัยที่จะเตือนคุณว่าผู้ชายคนหนึ่งในการโจมตีกลางอาจเกิดขึ้น

ฉันขอแนะนำให้คุณระบุสาเหตุที่คิดว่ามีบางสิ่งเปลี่ยนแปลงไปซึ่งส่วนใหญ่แล้วการอัพเกรด SSH จะเปลี่ยนคีย์การเข้ารหัสเนื่องจากช่องโหว่ความปลอดภัยที่เป็นไปได้ จากนั้นคุณสามารถล้างบรรทัดนั้นออกจากไฟล์ known_hosts ของคุณ:

sed -i 377d ~/.ssh/known_hosts

นี้d eletes สาย 377 ตามที่ปรากฏหลังจากลำไส้ใหญ่ในคำเตือน:

/home/emerson/.ssh/known_hosts:377

หรือคุณสามารถลบรหัสที่เกี่ยวข้องออกได้โดยทำดังต่อไปนี้

ssh-keygen -R 127.0.0.1 (obviously replace with the server's IP)

โปรดอย่าลบไฟล์ทั้งหมดและทำให้แน่ใจว่านี่เป็นเครื่องที่คุณต้องการเชื่อมต่อก่อนที่จะทำการล้างคีย์เฉพาะ

ฉันคิดว่าแม้ว่าคำตอบบางคำในที่นี้จะกล่าวถึงแนวทางการปฏิบัติที่แนะนำในคำถามของ OP แต่ก็ไม่ได้ตอบคำถามอย่างเต็มที่

คำถามระบุว่า "จะลบการตรวจสอบคีย์ RSA ที่เข้มงวดใน SSH ได้อย่างไรและมีปัญหาอะไรที่นี่"

ปัญหาที่นี่คือตามคำแนะนำของคนอื่นการเปลี่ยนแปลงในโฮสต์อาจเกิดจากการติดตั้งใหม่ของเซิร์ฟเวอร์ (สถานการณ์ทั่วไปส่วนใหญ่) และวิธีแก้ปัญหาที่แนะนำนั้นคือการลบคีย์ที่ละเมิดออกจากไฟล์. ssh / authorized_keys ด้วย inline sed

อย่างไรก็ตามฉันไม่เห็นคำตอบใด ๆ ที่อยู่ในส่วนเฉพาะของคำถาม " วิธีการลบการตรวจสอบคีย์ RSA ที่เข้มงวดใน SSH "

คุณสามารถลบการตรวจสอบ StrictHostKey ในแฟ้มการกำหนดค่า SSH ~/.ssh/configของคุณมักจะเก็บไว้ที่

ตัวอย่างโฮสต์บล็อกมีให้ด้านล่าง:

Host 101
  HostName yourip|hostname
  User youruserid
  IdentityFile /path/to/keyfile
  Port 22
  StrictHostKeyChecking no

บรรทัดที่เพิ่มเข้ามาโดยเฉพาะคือบรรทัดสุดท้ายStrictHostKeyChecking noที่ทำสิ่งนั้น ขึ้นอยู่กับสถานการณ์เฉพาะของคุณสิ่งนี้อาจมีประโยชน์สำหรับคุณเช่นการใช้งานคอนเทนเนอร์เสมือนจริงหลาย ๆ ตัวบนเซิร์ฟเวอร์เฉพาะในเพียงไม่กี่ ips หยุดและเริ่มอินสแตนซ์อื่นบน ip เดียวกัน

อีกวิธีหนึ่งในการลบ StrictHostKeyChecking เมื่อคุณต้องการใช้กับเซิร์ฟเวอร์เดียว:

ssh <server> -o StrictHostKeyChecking=no

ก่อนอื่นนี่คือเครื่องของคุณหรือไม่? คุณเปลี่ยนคีย์โฮสต์อย่างรู้เท่าทันหรือไม่? ถ้าไม่ฉันจะกังวลมากว่ามีบางสิ่งที่เปลี่ยนแปลงข้อมูลนั้น

ประการที่สองเปิดการดีบัก ssh

ssh -vvv user@host

และดูสิ่งที่บอกคุณลองค้นหา / var / log / secure และ / var / log / ข้อความบนเซิร์ฟเวอร์ที่คุณพยายามเชื่อมต่อเพื่อหาเบาะแส sshd ให้ข้อความผิดพลาดที่ดี

ประการที่สามเครื่องนี้เชื่อมต่อกับอินเทอร์เน็ตหรือไม่ คุณควรอนุญาตการล็อกอินรูทหรือไม่?

คุณได้รับสิ่งนี้เนื่องจากมีการเปลี่ยนแปลงบางอย่าง (เช่น NIC ใหม่ IP ใหม่การเปลี่ยนแปลงซอฟต์แวร์เซิร์ฟเวอร์ ฯลฯ ) มุ่งเน้นการรักษาความปลอดภัยมีบทความที่ดีในการป้องกัน SSH คีย์โฮสต์

เพียงแค่ลบคีย์ (ใช้ SFTP หรือคล้ายกัน) จากเซิร์ฟเวอร์โดยแก้ไข$HOME/.ssh/known_hostsไฟล์และยอมรับคีย์ใหม่ในการเชื่อมต่อครั้งถัดไป

การเชื่อมต่อของคุณอาจลดลงเนื่องจากการตั้งค่า StrictHostKeyChecking ดูหัวข้อนี้สำหรับปัญหาที่คล้ายกัน

เนื่องจาก 'โฮสต์' [กำหนดแบบกว้าง ๆ อาจเป็นทุกอย่างตั้งแต่การติดตั้งใหม่ / มัลติบูตไปยังคอมพิวเตอร์เครื่องอื่นที่มีที่อยู่ IP ที่คุณเคยเชื่อมต่อมาก่อนหน้านี้] จะปรากฏต่อไคลเอนต์ ssh ที่มีการเปลี่ยนแปลง ความผิดพลาด

ไม่จำเป็นต้องปิดการตรวจสอบอย่างเข้มงวดและไม่มีการลบคีย์ที่บันทึกไว้อย่างขายส่ง

ค่อนข้างเป็นไปได้ที่จะมีสองคีย์ที่แตกต่างกันแสดงอยู่ใน known_hosts สำหรับชื่อโฮสต์หรือที่อยู่ IP ที่เฉพาะเจาะจง; เสนอทางเลือก 2 ทางให้คุณตามที่คุณคิดว่าคุณอาจต้องใช้คีย์ 'เก่า' ซึ่งปัจจุบันจัดเก็บอยู่ใน known_hosts

ลบคีย์เฉพาะที่อ้างถึงที่ l377 ของ known_hosts สำหรับ OP หรือเก็บทั้งสองอย่าง

วิธีที่ง่ายที่สุดในการเก็บทั้งคู่โดยหลีกเลี่ยงการลบคีย์ใน known_hosts คือ

1. แก้ไข known_hosts เพื่อเพิ่ม # ที่จุดเริ่มต้นของรายการ 'old' ที่อ้างอิงใน known_hosts [@ l377] ชั่วคราว
2. เชื่อมต่อ [ssh กับโฮสต์] ยอมรับการแจ้งเตือนเพื่อเพิ่มคีย์ใหม่ 'อัตโนมัติ'
3. จากนั้นแก้ไข known_hosts อีกครั้งเพื่อลบ #

คำตอบเพิ่มเติมที่"เพิ่มคีย์โฮสต์ที่ถูกต้องใน known_hosts" / หลายคีย์โฮสต์ ssh ต่อชื่อโฮสต์หรือไม่