আমি আমার এসএসএস সার্ভারকে 2048-বিট আরএসএ কীগুলি থেকে বৃহত্তর কীগুলিতে আপগ্রেড করার চেষ্টা করছি, কারণ শীঘ্রই 2048-বিট কীগুলি শেষ করার প্রস্তাব দেওয়া হচ্ছে।
আমি একটি নতুন কী তৈরি করেছি, তারপরে এটি এসএসডি কনফিগারেশনে যুক্ত করেছি:
হোস্টকি / ইত্যাদি / এসএসএস / এসএস_হোস্ট_রসা_কি (পুরানো 2k- বিট কী প্রথমে) হোস্টকি / ইত্যাদি / এসএসএস / এসএসএইচ_হোস্ট_সিআস 4096_key (নতুন বৃহত্তর কী 2 য় )
পুনরায় চালু করার পর sshd, আমি হোস্টে ssh'd, আমি সনাক্তকরণ পরিবর্তিত সতর্কবার্তা পাবেন না, তবে এছাড়া আপনি নতুন ক্যাশে করা হয় না ~/.ssh/known_hosts। যদি আমি বিপরীত ক্রমে লাইনগুলি রাখি, আমি সনাক্তকরণের পরিবর্তিত সতর্কতা পেয়েছি। একইভাবে, আমি যখন একটি ed25519 কী যুক্ত করি, তখন আমি এটিকে যে অর্ডার দিই না কেন, ক্লায়েন্ট পরিচিত হোস্ট ফাইলটিতে নতুন কী যুক্ত করে না।
এটি এসএসএইচ হোস্ট কী রোলওভারটিকে অসম্ভবকে অসম্ভব বলে মনে হচ্ছে that's এটি বিশ্বাস করা সত্যিই সত্য, যদিও নিয়মিতভাবে নিরাপত্তা বিবেচনা করার জন্য আপগ্রেডিং কীগুলি প্রয়োজন।
আমি জানি আপনি কীটি কেবল অদলবদল করতে পারবেন, তারপরে প্রতিটি ক্লায়েন্টকে ssh-keygen -Rপুরানো কীটি সরিয়ে ফেলার জন্য দৌড়াতে হবে, তারপরে ম্যানুয়ালি নতুন কীটি যাচাই এবং গ্রহণ করুন — তবে এটি একটি সত্যিকারের ব্যথা, বিশেষত যদি আপনার অনেক ক্লায়েন্ট সংযুক্ত থাকে বা প্রশাসনিক না হন সমস্ত ক্লায়েন্ট। উল্লেখ করার মতো নয়, আপনি যদি ক্লায়েন্টদের পরিচালনা করেন না তবে খুব ভাল সুযোগ রয়েছে তারা আসলে হোস্ট কীটি পরীক্ষা করবে না এবং পরিবর্তে কেবল Y- তে আঘাত করবে — সুতরাং সুরক্ষার উন্নতির প্রয়াস সম্ভবত আপনাকে ম্যান-ইন- এ উন্মুক্ত করবে পরিবর্তে মধ্যম আক্রমণ।
এসএসএইচ হোস্ট কী আপগ্রেডগুলি কাজ করার কোনও উপায় আছে? এটি হ'ল, ক্লায়েন্টদের নতুন আরও সুরক্ষিত কী শিখতে হবে (এবং আশা করা যায় যে অপ্রচলিত কীটি অ-শিখতে হবে)। এবং হোস্ট কীটি ম্যান-ইন-মিডল সতর্কবার্তা পরিবর্তিত না করেই।