項目的SFTP用到了這個參數:
@Override public PooledObject<ChannelSftp> makeObject() throws Exception { JSch jsch = new JSch(); Session session = null; ChannelSftp channelSftp = null; try { session = jsch.getSession(config.user, config.serverIp, config.serverPort); session.setPassword(config.pwd); Properties sessionConfig = new Properties(); sessionConfig.put("StrictHostKeyChecking", "no"); session.setConfig(sessionConfig); session.connect(); channelSftp = (ChannelSftp) session.openChannel("sftp"); channelSftp.connect(); channelSftp.cd(config.getFileDir()); return new DefaultPooledObject(channelSftp); } catch (Exception e) { if (channelSftp != null) { channelSftp.disconnect(); } if (session != null) { session.disconnect(); } LOGGER.error("PoolingSFTPClient.makeObject error.(config:{})", config.toString(), e); throw e; } }
前言
我們在寫 shell 腳本的時候通常會需要用 ssh 登錄到遠程服務器執行一些命令。
這個時候就懵逼了,我 ssh 直接執行過去了,怎么去應答這個詢問
啊。 這個時候就需要知道 ssh 有一個非交互方式登錄 StrictHostKeyChecking
主機公鑰確認 StrictHostKeyChecking
-
StrictHostKeyChecking=no
最不安全的級別,當然也沒有那么多煩人的提示了,相對安全的內網測試時建議使用。如果連接server的key在本地不存在,那么就自動添加到文件中(默認是known_hosts),並且給出一個警告。 -
StrictHostKeyChecking=ask
默認的級別,就是出現剛才的提示了。如果連接和key不匹配,給出提示,並拒絕登錄。 -
StrictHostKeyChecking=yes
最安全的級別,如果連接與key不匹配,就拒絕連接,不會提示詳細信息。
解法
- 簡潔方便型
ssh -o StrictHostKeyChecking=no -i $rsaPath -p ${SERVER_PORT} ${SERVER} " cd ${DIR} rm -rf $files rm -rf ${zipName}"
- 一勞永逸型
# ~/.ssh/config 中添加如下信息 Host * StrictHostKeyChecking no
SSH 公鑰檢查是一個重要的安全機制,可以防范中間人劫持等黑客攻擊。但是在特定情況下,嚴格的 SSH 公鑰檢查會破壞一些依賴 SSH 協議的自動化任務,就需要一種手段能夠繞過 SSH 的公鑰檢查。
首先看看什么是 SSH 公鑰檢查
SSH 連接遠程主機時,會檢查主機的公鑰。如果是第一次該主機,會顯示該主機的公鑰摘要,提示用戶是否信任該主機:
The authenticity of host '192.168.0.110 (192.168.0.110)' can't be established. RSA key fingerprint is a3:ca:ad:95:a1:45:d2:57:3a:e9:e7:75:a8:4c:1f:9f. Are you sure you want to continue connecting (yes/no)?
當選擇接受,就會將該主機的公鑰追加到文件 ~/.ssh/known_hosts 中。當再次連接該主機時,就不會再提示該問題了。 如果因為某種原因(服務器系統重裝,服務器間IP地址交換,DHCP,虛擬機重建,中間人劫持),該IP地址的公鑰改變了,當使用 SSH 連接的時候,會報錯:
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @ @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@ IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY! Someone could be eavesdropping on you right now (man-in-the-middle attack)! It is also possible that the RSA host key has just been changed. The fingerprint for the RSA key sent by the remote host is e9:0c:36:89:7f:3c:07:71:09:5a:9f:28:8c:44:e9:05. Please contact your system administrator. Add correct host key in /home/jiangxin/.ssh/known_hosts to get rid of this message. Offending key in /home/jiangxin/.ssh/known_hosts:81 RSA host key for 192.168.0.110 has changed and you have requested strict checking. Host key verification failed.
上面的警告信息說的是:
- 服務器公鑰已經改變,新的公鑰的摘要是:e9:0c:36:89:7f:3c:07:71:09:5a:9f:28:8c:44:e9:05.
- 該服務器原來的公鑰記錄在文件 ~/.ssh/known_hosts 中第 81 行。
如果確認不是中間人劫持,需要連接到該服務器,怎么辦呢?最簡單的就是用 vi 打開 ~/.ssh/known_hosts 文件,定位到 81 行,將該行刪除。之后就可以使用 ssh 連接了。
如何讓連接新主機時,不進行公鑰確認?
在首次連接服務器時,會彈出公鑰確認的提示。這會導致某些自動化任務,由於初次連接服務器而導致自動化任務中斷。或者由於 ~/.ssh/known_hosts 文件內容清空,導致自動化任務中斷。 SSH 客戶端的 StrictHostKeyChecking 配置指令,可以實現當第一次連接服務器時,自動接受新的公鑰。只需要修改 /etc/ssh/ssh_config 文件,包含下列語句:
Host * StrictHostKeyChecking no
或者在 ssh 命令行中用 -o 參數
$ ssh -o StrictHostKeyChecking=no 192.168.0.110
如何防止遠程主機公鑰改變導致 SSH 連接失敗
當確認中間人劫持攻擊風險比較小的情況下,才可以使用下面的方法,禁用 SSH 遠程主機的公鑰檢查。 SSH 客戶端提供一個 UserKnownHostsFile 配置,允許指定不同的 known_hosts 文件。那么將 known_hosts 指向不同的文件,不就不會造成公鑰沖突導致的中斷了么?
$ ssh -o UserKnownHostsFile=/dev/null 192.168.0.110 The authenticity of host '192.168.0.110 (192.168.0.110)' can't be established. RSA key fingerprint is e9:0c:36:89:7f:3c:07:71:09:5a:9f:28:8c:44:e9:05. Are you sure you want to continue connecting (yes/no)?
看,提示信息由公鑰改變中斷警告,變成了首次連接的提示。 和之前提到的 StrictHostKeyChecking 配置配合使用,則不再有任何警告出現了:
$ ssh -o StrictHostKeyChecking=no -o UserKnownHostsFile=/dev/null 192.168.0.110 Warning: Permanently added '192.168.0.110' (RSA) to the list of known hosts. jiangxin@192.168.0.110's password: