SSH-avaimen skannaus olemassa olevan välityspalvelinrelayn kautta

Kerää ehdokasisäntäavaimet paikallisen TCP-relayn kautta säilyttäen ero relayn tunnisteen ja todellisen SSH-isännän välillä.

ssh-keyscan ei hyväksy SSH:n ProxyCommand-asetusta. Siksi ssh:lle määritetty välityspalvelin ei määritä erillistä skanneria automaattisesti.

Yksi ratkaisu on jo muodostettu paikallinen TCP-relay, joka suorittaa vaaditun välityspalvelimen todennuksen ja CONNECT-vaihdon ja paljastaa sitten aiottuun SSH-palvelimeen johtavan tavuvirran. Jos kyseinen relay kuuntelee osoitteessa 127.0.0.1:2222:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

Ensimmäinen komento kerää ehdokasavaimet, toinen näyttää niiden sormenjäljet. Relayn on päästettävä SSH-virta läpi kulutettuaan välityspalvelimen täyden vastauksen, sen sijaan että se antaisi HTTP-otsakkeet skannerille.

Tulosteen isäntätunniste kuvaa relayn paikallista päätepistettä. Älä liitä sitä muuttamattomana äläkä oleta, että se nyt tunnistaa etäisen SFTP-isäntänimen.

Vahvista sormenjälki luotetusta tietueesta tai ylläpitäjältä ennen kuin liität avaimen todelliseen isäntään ja porttiin tiedostossa known_hosts. ssh-keyscan kerää sen, mitä tavoitettavissa oleva päätepiste esittää; onnistunut välityspalvelinyhteys ei todista kyseistä avainta.

Aiheeseen liittyvät artikkelit