Diferentes impressões digitais ssh no servidor. (Ataque MITM?)

Question

Quando tento enviar o ssh para meu servidor na Alemanha do meu laptop no Reino Unido, recebo:

IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
.....

Eu removi a linha apropriada do meu ~ / .ssh / known_hosts e depois ssh'ed novamente. No servidor (via terminal ssh) eu executo:

ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub

depois do meu laptop eu faço:

ssh-keyscan -p 22 -t rsa my_domain_or_ip.com > /tmp/ssh_host_rsa_key.pub
ssh-keygen -l -f /tmp/ssh_host_rsa_key.pub

Quando copio os resultados, vejo que as impressões digitais são diferentes! O comprimento do certificado também é diferente (no servidor é 2048, mas a verificação remota mostra 1024). As impressões digitais da DSA também são diferentes.

O problema provavelmente não está na minha rede local, já que arping para o ip do servidor retorna 0 resultados. Eu pedi a um amigo na Polônia para executar os mesmos comandos para mim e ele obteve os mesmos resultados.

Alguma idéia do que está acontecendo?

EDITAR: Quando eu ssh para o servidor e faço:

ssh-keyscan -p 22 -t rsa 127.0.0.1 > /tmp/ssh_localhost_rsa_key.pub
ssh-keygen -l -f /tmp/ssh_localhost_rsa_key.pub

então vejo que a impressão digital ainda é diferente! Então, quando eu faço no servidor:

argping -c 5 server_ip

Eu recebo 0 respostas.

Isso é muito estranho!

EDIT 2 (SUMMARY):

username@server:~$ ssh-keyscan -p 22 127.0.0.1 > /tmp/rsa.tmp
# 127.0.0.1 SSH-1.99-OpenSSH_33.33
username@server:~$ ssh-keygen -lf /tmp/rsa.tmp 
1024 12:.................................    127.0.0.1 (RSA)
username@server:~$ ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub 
2048 32:................................. /etc/ssh/ssh_host_rsa_key.pub (RSA)

    

Answer 1

O problema é que alguém atacou meu servidor com uma exploração em um ou mais dos serviços que ele executa. A solução foi reinstalar todo o sistema, infelizmente (eu temia que alguém pudesse ter deixado alguns backdoors).

Eu também segui as dicas de segurança do linux desta vez .

    

Answer 2

A alteração da chave em cache pode ser explicada por vários motivos:

1. Você foi realmente atacado por alguém que está sentado entre você e seu servidor e interceptou suas sessões.
2. O IP do seu servidor é mapeado para vários servidores reais e você é alterado recentemente para outra máquina. Isso pode acontecer quando você SSH para um VIP que pode ser alternado entre dois servidores.
3. Seu sistema de servidor foi reinstalado recentemente, o que alterou a chave SSH.

Você deve ser capaz de determinar se isso é normal ou não.