Продолжить соединение с неизвестным сервером и добавить ключ хоста в кеш?

Question

[MaksSmag]

Всем привет. Запустил SFTP сервер на Ubuntu Server, на виртуальной машине. Подключился через WinSCP к этому серверу, выдаёт это:

Что это однозначает? Есть ли какая та уязвимость у сервера?
--
Спасибо за любой ответ.

Answer 1

[DDwrt100]

Ничего, страшного в этом сообщении нет. Связан с асинхронным шифрованием соединения.
При подключении сервера обмениваются открытыми ключами. И клиент спрашивает сохранить ли этот ключ себе в память.

Comments

[MaksSmag]

спасибо за утешение)

Answer 2

[Виктор Таран]

Это самоподписанные ключи.
Все совершенно нормально.
Выданные ключи собственным сервером сертификации совершенно нормальноработают, тут именно в формате доверия , центры которые выдают ключи и вы делают это одинаково.
Просто центр который выдал ключи проверил владельца что именно он им и является, и берет на себя финансовые риски в случае если эти ключи были выданы левому человеку по какйо-либо причине.
По этому эти ключи называются Доверительными и ведь вы доверяете этой серьезной конторе, которая выдает их за деньги. Мало того чем она более "доверительная" тем дороже ключи.
Если же вы выпустили их сами себе, то система вам говорит что они выданы каким-то неизвестным центром сертификации что согласитесь правда.
"доверие" вещь субъективная, например один из китайских центров сертификации перестал быть доверительным у браузера гугл хром, лично они решили что это левая контора. и перестали ему доверять, соответственно за хромом подтянулись и другие программы.
Ваш сервер считает недоверительным именно программа, просто доверительных центров сертификации не так много и их списки у каждой программы одинаковы.

Comments

[MaksSmag]

спасибо, буду знать ;)

[Saboteur]

Эм, вы не путаете сертификаты и ключи?
ключи просто генерят, они не содержат доверительного issuer-а

[Виктор Таран]

Saboteur, В каком смысле. в том что это разные файлы ?

[Saboteur]

Виктор Таран, В том, что у ssh ключей нет центров выдачи и валидация идет просто по знакомому публичному ключу

Answer 3

[Saboteur]

При первом подключении по ssh протоколу к новому серверу, всегда будет такое уведомление.

После подтверждения, слепок ключа сервера сохраняется на вашей машине. Если внезапно на сервере поменяется ключ (переустановка ОС, или некий злоумышленник внедрился и перенаправил вас на свой сервер), ваш клиент сообщит, что вы пытаетесь подключиться к ранее известному серверу, но ключ на сервере не совпадает с тем, что мы сохранили ранее, и не позволит подключиться, пока не удалите сохраненный ключ.

Стандартная проверка для всех SSH подключений