Como alterar uma chave de host SSH?

Question

Eu clonei um servidor e eles têm a mesma impressão digital da chave RSA.

Parece ser definido em /etc/ssh/ssh_host_rsa_key.pub .

Qual é a maneira correta de mudar isso?

Obrigado.

    

Answer 1

Siga estas etapas para regenerar as Chaves do Host do OpenSSH

1. Excluir chaves de host ssh antigas: rm /etc/ssh/ssh_host_*
2. Reconfigurar o servidor OpenSSH: dpkg-reconfigure openssh-server
3. Atualizar todos os clientes do ssh ~/.ssh/known_hosts files

Referência

    

Answer 2

Ou, remova as chaves e

ssh-keygen -A

Explicação:

-A : Para cada um dos tipos de chave (rsa1, rsa, dsa, ecdsa e ed25519) para os quais as chaves do host não existem, gere as chaves do host com o caminho do arquivo de chaves padrão, uma senha vazia, bits padrão para o tipo de chave e o comentário padrão. Isso é usado pelo / etc / rc para gerar novas chaves de host.

    

Answer 3

Para um método genérico de fazer isso:

ssh-keygen -q -N "" -t dsa -f /etc/ssh/ssh_host_dsa_key

ssh-keygen -q -N "" -t rsa -b 4096 -f /etc/ssh/ssh_host_rsa_key

ssh-keygen -q -N "" -t ecdsa -f /etc/ssh/ssh_host_ecdsa_key

misture e combine de acordo com as chaves suportadas pela sua versão do OpenSSH.

    

Answer 4

Exclua-os e reinicie o serviço SSHd. Eles serão regenerados.

    

Answer 5

Script (no caso de reiniciar o daemon sshd não regenera automaticamente as chaves)

#!/bin/bash

# Regenerate SSHD key materials, restart sshd if "-r" passed on command line

set -o nounset

WHERE=/etc/ssh

# go to directory

pushd $WHERE >/dev/null

if [[ $? != 0 ]]; then
   echo "Could not cd to $WHERE -- exiting" >&2
   exit 1
fi

# create backup folder

NOW='date '+%Y%m%d.%H%M%S'' # default NOW string
BAKDIR=bak_$NOW

mkdir $BAKDIR

if [[ $? != 0 ]]; then
   echo "Could not mkdir $BAKDIR -- exiting" >&2
   exit 1
fi

# move existing key material to backup folder

mv ssh_host_* $BAKDIR

if [[ $? != 0 ]]; then
   echo "Could not move old files to $BAKDIR -- exiting" >&2
   exit 1
fi

# generate new keys

ssh-keygen -A

if [[ $? != 0 ]]; then
   echo "Could not recreate keys -- exiting" >&2
   exit 1
fi

# ssh-keygen may create DSA keys but:
# "Never use DSA or ECDSA"
# http://security.stackexchange.com/questions/5096/rsa-vs-dsa-for-ssh-authentication-keys

/bin/rm -f *_dsa_key *_dsa_key.pub
/bin/rm -f *_ecdsa_key *_ecdsa_key.pub

# on Fedora, one has to tune permissions a bit

chmod 640 *_key
chgrp ssh_keys *_key

# make sure SELinux attributes are as they should be

restorecon -R $WHERE

# Done

echo "New key material"
ls -l *_key *_key.pub

# Do the risky thing

if [[ $1 == '-r' ]]; then
   echo "Restarting SSH daemon"
   systemctl restart sshd
fi

# go back to where you where

popd >/dev/null