Назад | Перейти на главную страницу

Различные отпечатки ssh на сервере. (Атака MITM?)

Когда я пытаюсь подключиться к моему серверу в Германии по ssh со своего британского ноутбука, я получаю:

IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
.....

Я удалил соответствующую строку из моего ~ / .ssh / known_hosts, а затем снова запустил ssh. На сервере (через ssh-терминал) выполняю:

ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub

затем со своего ноутбука я делаю:

ssh-keyscan -p 22 -t rsa my_domain_or_ip.com > /tmp/ssh_host_rsa_key.pub
ssh-keygen -l -f /tmp/ssh_host_rsa_key.pub

Когда я сравниваю результаты, я вижу, что отпечатки пальцев другие! Длина сертификата тоже разная (на сервере 2048, но при удаленном сканировании 1024). Отпечатки DSA также разные.

Проблема, вероятно, заключается не в моей локальной сети, так как arping для ip сервера возвращает 0 результатов. Я попросил друга в Польше выполнить для меня те же команды, и он получил те же результаты.

Есть идеи о том, что происходит?

РЕДАКТИРОВАТЬ: Когда я ssh на сервер и делаю:

ssh-keyscan -p 22 -t rsa 127.0.0.1 > /tmp/ssh_localhost_rsa_key.pub
ssh-keygen -l -f /tmp/ssh_localhost_rsa_key.pub

потом вижу, что отпечаток все равно другой! Затем, когда я делаю на сервере:

argping -c 5 server_ip

Я получаю 0 ответов.

Это очень странно!

РЕДАКТИРОВАТЬ 2 (РЕЗЮМЕ):

username@server:~$ ssh-keyscan -p 22 127.0.0.1 > /tmp/rsa.tmp
# 127.0.0.1 SSH-1.99-OpenSSH_33.33
username@server:~$ ssh-keygen -lf /tmp/rsa.tmp 
1024 12:.................................    127.0.0.1 (RSA)
username@server:~$ ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub 
2048 32:................................. /etc/ssh/ssh_host_rsa_key.pub (RSA)

Изменение кешированного ключа можно объяснить несколькими причинами:

  1. На вас действительно напал кто-то, кто сидит между вами и вашим сервером и перехватывает ваши сеансы.
  2. IP-адрес вашего сервера сопоставлен с несколькими реальными серверами, и вы недавно переключились на другой компьютер. Это может произойти, если вы подключитесь по SSH к VIP, который можно переключать между двумя серверами.
  3. Ваша серверная система была недавно переустановлена, что изменило ключ SSH.

Вы сможете определить, нормально это или нет.

Проблема заключалась в том, что кто-то атаковал мой сервер с помощью эксплойта на одной или нескольких службах, которые он запускает. К сожалению, решением было переустановить всю систему (я боялся, что кто-то оставил какие-то лазейки).

Я также следил за на этот раз советы по безопасности Linux.