Генерация ключей SSH

Мы знаем, что при подключении с использованием аутентификации с ключом хоста открытый ключ сервера копируется на компьютер-клиент. А где находятся ключи на сервере? На сервере они лежат в директории /etc/ssh. В Debian при установке OpenSSH создаются две пары ключей RSA и DSA, которые представляют собой отдельные файлы: ssh_host_rsa_key, ssh_host_rsa_key.pub, ssh_host_dsa_key и ssh_host_dsa_key.pub. Файлы, которые оканчиваются на .pub являются открытыми (публичными) ключами, а те, что оканчиваются на key – закрытыми. В процессе администрирования сервера может понадобиться сгенерировать новые ключи. Рассмотрим генерацию ключей на следующем примере. В предыдущей части этой статьи мы оставили параметр HostKey без изменений. Теперь изменим его значение, например, так:

HostKey /etc/ssh/ssh_sunup_rsa_key

Удалим старые ключи:

# rm /etc/ssh/ssh_host*

И сгенерируем новую пару RSA ключей, для чего выполним следующую команду:

# ssh-keygen -t rsa -f /etc/ssh/ssh_sunup_rsa_key

В запросе о пароле оставляем поля пустыми (см. man ssh-keygen). В результате будет создана новая пара RSA ключей с длиной шифрования 2048 бит. Перезапускаем sshd:

# /etc/init.d/ssh restart

Теперь, если мы попробуем подключиться к серверу со старым ключом, то получим следующее предупреждение:

@@@@@@@@@@@@@@@@@@@@@@@@@

@WARNING: HOST IDENTIFICATION HAS CHANGED! @

@@@@@@@@@@@@@@@@@@@@@@@@@

IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!

Someone could be eavesdropping on you right now (man-in-the-middle attack)!

It is also possible that the RSA host key has just been changed.

The fingerprint for the RSA key sent by the remote host is

2b:f3:c6:42:29:f2:26:6c:6f:28:dc:16:39:9f:bb:e7.

Please contact your system administrator.

Add correct host key in /home/andrey/.ssh/known_hosts to get rid of this message.

Offending key in /home/andrey/.ssh/known_hosts:3

RSA host key for [sunup]:2203 has changed and you have requested strict checking.

Host key verification failed.

При попытке подключения не совпали слепки ключей (fingerprint). Решение проблемы содержится в сообщении - нужно просто удалить указанную строку, в нашем случае 3, в файле known_hosts, снова подключиться и принять новый ключ сервера.

$ sed –ie 3d ~/.ssh/known_hosts

Теперь перейдём к следующей статье и настроим сервер ssh с аутентификацией по открытому ключу.