Безопасно получить отпечаток SSH с удаленного сервера?
Я думал об этом, и мой хост предоставляет внешнюю поддержку, поэтому я мог просто создать ключевой отпечаток ключа и сравнить его при подключении к этому серверу из дома.
Есть ли другой способ, кроме внешнего доступа, где вы можете убедиться, что хост, к которому вы подключаетесь, действительно является сервером, который вы приобрели?
Как это делается на практике?
1 ответ
Если я вас правильно понимаю, вы спрашиваете, существуют ли какие-либо средства - помимо внеполосных каналов - для безопасного получения отпечатка открытого ключа вашего сервера ssh. Строго говоря, ответ должен быть " нет", поскольку теоретически MITM может настроить фиктивного сервера SSH, который позволяет вам "входить в систему" независимо от предоставленных вами учетных данных. Если бы вы заранее не знали отпечаток открытого ключа вашего реального сервера, у вас не было бы возможности узнать, что отпечаток поддельного сервера не совпадает с отпечатком вашего реального сервера.
На практике большинство людей предполагают (и в большинстве случаев это оправданно), что вероятность того, что MITM фактически подделывает их, очень мала, и поэтому они просто признают, что отпечаток ключа сервера, предоставленный им при первом подключении, является их настоящий сервер ssh, а не тот, что подделка.
Конечно, если со временем вы делаете много ssh-подключений к вашему серверу, вероятность того, что MITM попытается обмануть вас, будет накапливаться. К счастью, для каждого соединения, которое вы делаете после первого, открытый ключ сервера будет храниться в вашем known_hosts файл. И поэтому, если MITM когда-либо предпринимает попытку некоторых махинаций во время какой-либо конкретной попытки подключения (после первой), ваш ssh-клиент немедленно предупредит вас о том, что только что полученный ключ сервера не соответствует ожидаемому, и соединение будет быть прерванным
В заключение, если у вас есть внеполосные способы узнать ключ вашего сервера, то вы должны использовать его для проверки ключа при первом подключении, которое обновляет ваш known_hosts файл. Но даже если у вас нет таких средств, хотя теоретически существует риск для безопасности, риск, вероятно, очень мал.