Cara memperbaiki peringatan tentang kunci host ECDSA

Saya mencoba menyiapkan SSH-tanpa-kata sandi pada server Ubuntu ssh-copy-id myuser@myserver, tetapi saya mendapatkan kesalahan:

Peringatan: kunci host ECDSA untuk 'myserver' berbeda dari kunci untuk alamat IP '192.168.1.123'

Apa yang menyebabkan ini, dan bagaimana cara memperbaikinya? Saya mencoba menghapus .sshdirektori pada mesin jarak jauh, dan berjalan ssh-keygen -R "myserver"secara lokal, tetapi ini tidak menyelesaikan kesalahan.

Hapus kunci yang di-cache untuk 192.168.1.123di mesin lokal:

ssh-keygen -R 192.168.1.123

Dalam kasus saya ssh-keygen -R ...tidak memperbaiki peringatan. Saya punya informasi tambahan seperti ini:

Offending key for IP in /home/myuser/.ssh/known_hosts:8
Matching host key in /home/myuser/.ssh/known_hosts:24

Saya cukup diedit ~/.ssh/known_hostsdan dihapus secara manual 8 baris ("kunci menyinggung"). Saya mencoba menyambung kembali, tuan rumah secara permanen ditambahkan, dan semuanya baik-baik saja setelah itu!

Saya melakukan banyak ssh-ing antara komputer LAN saya dan dua akun webhosting saya, jadi saya telah menyortir semua jenis peluang dan berakhir dengan SSH, termasuk masalah otentikasi menggunakan ssh -vuntuk melihat di mana dan apa yang salah.

Baru saja menyelesaikan masalah ini dan tidak senang dengan jawabannya, saya ingin benar-benar tahu "mengapa" saya sendiri ...

Pemicu untuk kasus saya adalah: menginstal OS server baru di tempat kerja dan setelah menginstal paket openssh-server, satu set kunci host baru dibuat di server kerja. Sebelumnya, semua OS server saya adalah Ubuntu dan kali ini berubah menjadi Debian (dan saya curiga ada perbedaan perbedaan dalam izin).

Ketika semua OS adalah Ubuntu dan saya menginstal ulang OS server, setelah SSH pertama masuk, saya mendapatkan peringatan semacam ini, yang saya lebih suka daripada peringatan diam di atas!

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that the RSA host key has just been changed.
The fingerprint for the RSA key sent by the remote host is
06:ea:f1:f8:db:75:5c:0c:af:15:d7:99:2d:ef:08:2a.
Please contact your system administrator.
Add correct host key in /home/user/.ssh/known_hosts to get rid of this message.
Offending key in /home/user/.ssh/known_hosts:4
RSA host key for domain.com has changed and you have requested strict checking.
Host key verification failed.

Lalu saya buka ~/.ssh/known_hostsdi komputer yang memulai ssh, hapus baris itu, sambungkan kembali dan ini terjadi:

chris@home ~ $ ssh work
The authenticity of host '[work]:11122 ([99.85.243.208]:11122)' can't be established.
ECDSA key fingerprint is 56:6d:13:be:fe:a0:29:ca:53:da:23:d6:1d:36:dd:c5.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '[work]:11122 ([99.85.243.208]:11122)' (ECDSA) to the list of known hosts.
Linux rock 3.2.0-4-amd64 #1 SMP Debian 3.2.51-1 x86_64

_{Itu sedikit tentang: 11122 adalah nomor port I rute SSH dari pada firewall}

Saya memeriksa cadangan dari server Ubuntu lama dan berbeda dengan pemasangan Debian baru saya:

Ubuntu:                                            Debian:
# Package generated configuration file             # Package generated configuration file
# See the sshd(8) manpage for details              # See the sshd_config(5) manpage for details

# What ports, IPs and protocols we listen for      # What ports, IPs and protocols we listen for
Port 22                                            Port 22
# Use these options to restrict which interface    # Use these options to restrict which interfaces
#ListenAddress ::                                  #ListenAddress ::
#ListenAddress 0.0.0.0                             #ListenAddress 0.0.0.0
Protocol 2                                         Protocol 2
# HostKeys for protocol version 2                  # HostKeys for protocol version 2
HostKey /etc/ssh/ssh_host_rsa_key                  HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_dsa_key                  HostKey /etc/ssh/ssh_host_dsa_key
------------------------------------------------   HostKey /etc/ssh/ssh_host_ecdsa_key
#Privilege Separation is turned on for security    #Privilege Separation is turned on for security
UsePrivilegeSeparation yes                         UsePrivilegeSeparation yes

Jadi ya, sepertinya, tuan rumah mulai menggunakan kunci ecdsa baru-baru ini, yang berdasarkan perubahan Ubuntu belakangan ini, saya akan menyalahkan pembaruan. Pergeseran Ubuntu dari OS linux yang sangat saya andalkan adalah alasan mengapa saya menginstal Debian kali ini.

Saya membaca security.SE q / a di ecdsa dan telah menghapus baris itu dari sshd_configserver Debian baru saya. (dan berlari service ssh restart)

Prompt terjadi setiap waktu karena alamat IP berubah setiap saat ketika menggunakan pengalamatan dinamis. Cobalah untuk menggunakan IP statis sehingga Anda hanya perlu menambahkan kunci sekali saja.

ssh-keygen -f "/root/.ssh/known_hosts" -R 192.168.1.123

Ini harus mengganti kunci yang ada di bawah known_hosts.old dan membuat yang baru. Solusi ini bekerja untuk saya dalam skenario yang sama

Saya menambahkan baris-baris berikut ke ~ / .ssh / config saya, sehingga menonaktifkan host ketat yang memeriksa semua alamat lokal. (dengan alokasi alamat DHCP, alamat ip mesin lokal saya selalu berubah)

host *.local
    StrictHostKeyChecking no

Anda masih mendapatkan peringatan itu, yang menurut saya baik-baik saja.

Apakah Anda menggunakan pengguna yang sama untuk menghubungkan?

Jika Anda masuk ke PC lokal seperti pengguna John dan terhubung ke server B seperti pengguna Adolf @ B dan semuanya OK, itu tidak berarti semuanya baik-baik saja jika Anda masuk ke PC lokal seperti pengguna Jane dan menghubungkan ke server B seperti pengguna Adolf @ B .

Jika Anda ingin masuk di server B sebagai pengguna Beda dari PC A tanpa kata sandi, coba perintah ini, semua dari PC A :

ssh-keygen -t rsa

Perintah ini menghasilkan kunci dan menyimpan kunci dalam file. Harap kosongkan frasa sandi .

ssh Beda@B mkdir -p .ssh

Perintah ini membuat direktori, jika belum ada. Jika tidak, jangan cetak pesan kesalahan.

cd ~/.ssh

Perintah ini mengubah direktori ke direktori home pengguna Anda ./ssh.

cat id_rsa.pub | ssh Beda@B 'cat >> .ssh/authorized_keys'

Perintah ini mencetak file id_rsa.pub (kunci publik Anda) ke dalam otor_keys di server.

PENTING: Beda adalah nama pengguna Anda di server yang Anda sambungkan, B adalah IP server Anda.

Sekarang, Anda dapat terhubung ke server B tanpa kata sandi atau frasa sandi:

ssh Beda@B

Utas di sini dapat membantu.

Pada dasarnya, Anda ingin menghapus kunci RSA dan ECDSA untuk host itu, kemudian gunakan ssh-keyscanuntuk memasukkannya kembali ke known_hostsfile Anda dengan cara yang tidak akan menyebabkan konflik ini. Itu bekerja untuk saya ketika saya memiliki masalah yang sama.

Pertanyaan: Apa yang menyebabkan ini, ...?

Jadi kunci host server ssh berubah. Apa yang menyebabkan perubahan? Sulit dikatakan. Berikut ini beberapa tebakan:

• Apakah sshd di server saya mulai menggunakan kunci ECDSA, jadi ini adalah jenis kunci baru?
• Apakah myserver baru-baru ini diinstal ulang?
• Apakah sshd pada server saya baru-baru ini di-insall sehingga kunci host ssh baru dibuat?
• Apakah seseorang membuat ulang atau mengganti kunci host sshd?
• Apakah alamat IP server saya berubah sehingga host lain menjawab alamat IP itu?

Pertanyaan: ... dan bagaimana cara memperbaikinya?

Seperti yang sudah dijawab orang lain, hapus kunci host ECDSA dalam cache untuk server saya yang telah di-cache akun Anda.

Kesalahan ini terus mengganggu saya untuk waktu yang lama. Untuk beberapa alasan itu membuat perbedaan apakah saya akan melakukan

ssh host

atau

ssh host.domain

https://askubuntu.com/questions/87449/how-to-disable-strict-host-key-checking-in-ssh

kemudian menunjuk saya ke opsi untuk mengubah file konfigurasi. Lihat skrip saya https://askubuntu.com/a/949731/129227 di sana untuk mengotomatiskan proses.

Saya memperbaikinya di Chromebook dengan menghapus dan menginstal ulang Secure Shell ... Ini berfungsi seperti pesona.

Berikut ini cara menghapus sidik jari host yang dikenal (dari known_hostsfile) di Chrome OS:

Temukan indeks entri host yang menyinggung dalam output ssh ketika koneksi gagal. Misalnya pada baris di bawah ini, indeks yang menyinggung adalah 7 :

Offending ECDSA key in /.ssh/known_hosts:7

Buka konsol JavaScript ( CTRL+ Shift+ J) dari jendela Secure Shell dan ketik berikut ini, ganti INDEXdengan nilai yang sesuai (misalnya 7 ):

term_.command.removeKnownHostByIndex(INDEX);

Solusi ini dipinjam dari Blog Leo Gaggl .