Ich hatte darüber nachgedacht und mein Host bietet Out-of-Band-Unterstützung, sodass ich einfach den Schlüsselfingerabdruck Out-of-Band erstellen und ihn vergleichen könnte, wenn ich von zu Hause aus eine Verbindung zu diesem Server herstelle.
Gibt es außer dem Out-Band-Zugriff eine andere Möglichkeit, mit der Sie überprüfen können, ob es sich bei dem Host, mit dem Sie eine Verbindung herstellen, tatsächlich um den Server handelt, den Sie gekauft haben?
Wie wird dies in der Praxis umgesetzt?
Antwort1
Wenn ich Sie richtig verstehe, fragen Sie, ob es – abgesehen von Out-of-Band-Kanälen – eine Möglichkeit gibt, den öffentlichen Schlüsselfingerabdruck Ihres SSH-Servers sicher abzurufen. Genau genommen muss die Antwort lauten:NEIN, da ein Man-in-the-Middle (MITM) theoretisch einen gefälschten SSH-Server einrichten könnte, der Ihnen unabhängig von den von Ihnen angegebenen Anmeldeinformationen eine „Anmeldung“ ermöglicht. Wenn Sie den öffentlichen Schlüssel-Fingerabdruck Ihres echten Servers nicht im Voraus kennen würden, hätten Sie keine Möglichkeit zu wissen, dass der Fingerabdruck des gefälschten Servers nicht der Ihres echten Servers ist.
In der Praxis gehen die meisten Leute davon aus (und das ist in den meisten Fällen auch zu Recht so), dass die Wahrscheinlichkeit, dass sie von einem MITM gefälscht werden, sehr gering ist. Sie akzeptieren daher einfach, dass der Server-Schlüssel-Fingerabdruck, der ihnen bei der ersten Verbindung angezeigt wird, der ihres echten SSH-Servers ist und nicht der eines gefälschten.
Natürlich steigt die Wahrscheinlichkeit, dass Sie von einem MITM-Spoofing-Versuch betroffen sind, mit der Zeit, wenn Sie viele SSH-Verbindungen zu Ihrem Server herstellen. Glücklicherweise wird für jede Verbindung, die Sie nach der ersten herstellen, der öffentliche Schlüssel des Servers in Ihrer known_hostsDatei gespeichert. Wenn also jemals ein MITM-Versuchtutversuchen, einige Spielereien während eines bestimmten Verbindungsversuchs (nachWenn Sie den ersten Schlüssel eingeben, wird Ihr SSH-Client Sie sofort darauf aufmerksam machen, dass der soeben empfangene Serverschlüssel nicht mit dem erwarteten übereinstimmt, und die Verbindung wird abgebrochen.
Zusammenfassend lässt sich sagen, dass Sie, wenn Sie über Out-of-Band-Möglichkeiten verfügen, den Schlüssel Ihres Servers zu kennen, diese auch verwenden sollten, um den Schlüssel zu überprüfen, wenn Sie die erste Verbindung herstellen, die Ihre known_hostsDatei aktualisiert. Aber selbst wenn Sie keine solchen Mittel haben, gibt es einetheoretischSicherheitsrisiko, das Risiko ist wahrscheinlich sehr gering.