SSH-kulcs vizsgálata meglévő proxy-relén keresztül

Gyűjtsön jelölt hostkulcsokat helyi TCP-relén keresztül, miközben megőrzi a különbséget a relé címkéje és a valódi SSH-host között.

Az ssh-keyscan nem fogadja el az SSH ProxyCommand beállítását. Ezért az ssh-hoz beállított proxy nem állítja be automatikusan a különálló vizsgálót.

Az egyik megoldás egy már létrehozott helyi TCP-relé, amely elvégzi a szükséges proxy-hitelesítést és CONNECT-cserét, majd feltárja a kívánt SSH-kiszolgáló bájtfolyamát. Ha ez a relé a 127.0.0.1:2222 címen figyel:

ssh-keyscan -p 2222 127.0.0.1 > candidate.keys
ssh-keygen -lf candidate.keys

Az első parancs összegyűjti a jelölt kulcsokat, a második megjeleníti azok ujjlenyomatait. A relének tovább kell engednie az SSH-folyamot, miután felhasználta a teljes proxy-választ, ahelyett hogy HTTP-fejléceket adna a vizsgálónak.

A kimenet hostcímkéje a relé helyi végpontját írja le. Ne fűzze hozzá változatlanul, és ne feltételezze, hogy most a távoli SFTP-hostnevet azonosítja.

Ellenőrizze az ujjlenyomatot megbízható nyilvántartáson vagy rendszergazdán keresztül, mielőtt a kulcsot a valódi hosthoz és portthoz rendeli a known_hosts fájlban. Az ssh-keyscan azt gyűjti, amit az elérhető végpont bemutat; egy sikeres proxy-kapcsolat nem hitelesíti ezt a kulcsot.

Kapcsolódó cikkek