Autenticação com base em host SSH: como a força do cliente SSH pode ser usada, dada a localização da chave

Question

A página man do Linux em ssh diz sobre a autenticação baseada em host funciona como SSH server must be able to verify the client's host key (see the description of /etc/ssh/ssh_known_hosts and ~/.ssh/known_hosts, below) for login to be permitted. Que eu entendo ~/.ssh/known_hosts contém chaves do host do servidor SSH acessadas pelo cliente.

Assim, na autenticação baseada em chave, em que as chaves privadas de identidade são lidas de ~/.ssh/id_rsa e ~/.ssh/id_dsa , como posso forçar a procura de chaves em locais diferentes na autenticação baseada em host com apenas a chave ~/.ssh/known_hosts .

Em autenticação baseada em chave. podemos apontar para um local diferente usando ssh -i /new/path/to/id_rsa <server IP> e gostaríamos de saber como é viável com a autenticação baseada no host.

Obrigado antecipadamente!

    

Answer 1

Seus arquivos known_hosts são usados pelo seu cliente ssh para verificar a identidade do host remoto ao qual você está se conectando. Na autenticação baseada em host, o servidor remoto precisa verificar a identidade do host do cliente, que não tem nada a ver com o arquivo known_hosts local.

Sua chave de host vem de /etc/ssh/ssh_host_rsa_key ou um dos outros arquivos com nomes semelhantes em /etc/ssh . Você define a localização do seu hostkey usando a diretiva HostKey em /etc/ssh/sshd_config .

Observe que isso não pode ser definido por conexão . Esta é uma credencial que identifica seu host .

    

Answer 2

Não é viável com a autenticação baseada em host. A autenticação baseada em host depende do ssh-keysign , que possui locais codificados das chaves do host. Em particular, para o openssh-6.2p1, em ssh-keysign.c existe:

170   key_fd[i++] = open(_PATH_HOST_DSA_KEY_FILE, O_RDONLY);
171   key_fd[i++] = open(_PATH_HOST_ECDSA_KEY_FILE, O_RDONLY);
172   key_fd[i++] = open(_PATH_HOST_RSA_KEY_FILE, O_RDONLY);