¿Por qué el archivo ssh 'known_hosts' necesita el nombre del servidor?

Question

¿Por qué el archivo ssh 'known_hosts' necesita el nombre del servidor?

#1 de jjanes (1 votos)
#2 de NuTTyX (1 votos)

0

Cuando presiono / arrastro los repositorios en GitHub a través de SSH, a veces aparece un mensaje sobre un servidor no identificado y me pregunta si quiero confiar y lo agrego a mi host conocido. Aparentemente esto se debe a que GitHub tiene múltiples direcciones IP.

Lo que no entiendo es por qué SSH necesita registrar el nombre de host en known_hosts . Cuando uso mi clave privada para autenticarme en GitHub, no es necesario que presente un nombre de dominio / IP a GitHub. ¿Por qué no puedo 'SSH autenticar el servidor como original con solo su clave?

authentication ssh asymmetric

pregunta Siyuan Ren 21.09.2014 - 13:36

fuente

2 respuestas

1

El punto central de tener un known_hosts es mantener un registro de las claves asociadas con el host al que pertenecen. Para ser más específico, registra la clave asociada con el nombre de host con el que intentaste conectarte con el comando ssh , scp o sftp . Le ayudará a evitar los ataques MITM, ya que cualquier comando basado en SSH le avisará si la clave del servidor ha cambiado desde que la registró en su known_hosts .

Mientras use el mismo nombre de host y presente la misma clave, no importa si tiene IP múltiple o no.

respondido por el NuTTyX 21.09.2014 - 15:05

fuente

Lea otras preguntas en las etiquetas authentication ssh asymmetric

¿Proteger contra un cliente malintencionado con la función de derivación de claves (PBKDF2)? Iniciar sesión de forma segura sin enviar una prueba simple al servidor

score 1 · Accepted Answer

Supongamos que tiene entradas hipotéticas de known_hosting_keys para nsa.gov y github.com.

Ahora evil.net se infiltra en github.com y también obtiene un control de nivel MITM sobre su conexión a Internet / DNS.

Ahora ssh en nsa.gov, y evil.net te presenta las credenciales robadas de github.com, y tu cliente ssh realiza un ciclo a través de tu conocido_hosting_keys hasta que encuentre una que coincida y acepte la conexión.

Ahora estás conectado a evil.net pensando que es nsa.gov debido a una infracción en un tercero.

Quizás este es un riesgo que está dispuesto a asumir, pero no es uno de los diseñadores de ssh.

Mi propio archivo conocido_hosts especifica github.com por nombre, además de por dirección IP, y nunca tuve el problema que describiste. A menos que intencionalmente cambie el archivo para causar el problema.