🏨 👩🏾‍⚖️ 🕵️ .Ssh / ज्ञात_होस्ट फ़ाइल में क्या लिखा है 🉑 👩‍🚒 📞

हर बार जब हम ssh प्रोटोकॉल के माध्यम से सर्वर से जुड़ते हैं, ssh क्लाइंट यह देखने के लिए जांचता है कि क्या इस सर्वर के लिए सार्वजनिक कुंजी पिछली बार से मेल खाती है (कम से कम यह ssh मानक करने की अनुशंसा करता है)। OpenSSH में, ज्ञात सर्वर कुंजियों की एक सूची ज्ञात_होस्ट फ़ाइल में संग्रहीत है। केटम के तहत संक्षेप में क्या और कैसे वहाँ संग्रहीत किया जाता है।

सभी प्रयोग लिनक्स (डेबियन / मिंट / उबंटू) पर किए गए थे। मैं अन्य ओएस में फ़ाइलों के स्थान और सामग्री के लिए वाउच नहीं कर सकता।

पहली बार ssh सर्वर से कनेक्ट होने पर, हम कुछ इस तरह देखते हैं:

मेजबान की प्रामाणिकता '192.168.0.2 (192.168.0.2)' स्थापित नहीं की जा सकती।
RSA कुंजी फिंगरप्रिंट SHA256 है: kd9mRkEGLo + RBBNpxKp7mInocF3 / Yl / 0fXRsGJ2JfYg।
क्या आप वाकई कनेक्ट करना जारी रखना चाहते हैं (हां / नहीं)?

यदि आप सहमत हैं, तो निम्नलिखित पंक्ति ~ / .ssh / ज्ञात_होस्ट फ़ाइल में जोड़ दी जाएगी:

| 1 | CuXixZ + EWfgz40wpkMugPHPalyk = | KNoVhur7z5NAZmNndtwWq0kN1SQ = ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQCeiF4OOOUhWvOYrh / e4q91 + iz + i9S0s3M2LPq + GAhRlhKt5vKyEVd6x6m26cc98Y + SQXnCB9GWeVYk8jlFHEXnY4YWeWLDwXIhHBJYt5yz3j5Wkg95x + mPvO9FLSBk / Al2GbH5q6F + hZIlLmO6ciISmX4TtcG1sw4SwoTADrrhdM0OJd + c5CU8iqCbc6PznYbLZXCvqPZTWeSbTLUcUu1Ti + 7xGwT8DF + tIyLFcU + zxd0QnwJIbNvewkHs0LsMOWFVPz / Nd0XiVXimX + ugCDBZ / 4q8NUwH9SGzCMAvnnr + D1I8X2vhSuRsTsQXL5P3vf8elDxPdDrMJzNtlBCbLWzV

यहां, तीन तत्वों को एक स्थान के साथ लिखा गया है: सर्वर की ओर से एक हैश, उपयोग किए गए असममित एल्गोरिथ्म का नाम, और सर्वर की सार्वजनिक कुंजी। चलो उन्हें अलग ले जाएं।

और यदि आप निर्देश पढ़ते हैं

वास्तव में, यूबुंट के लिए मैनुअल के अनुसार, 2 और क्षेत्र हो सकते हैं, जो रिक्त स्थान से अलग भी होते हैं:

लाइन की शुरुआत में एक चिह्न “@ सर्टिफिकेट-अथॉरिटी” या “@revoked” हो सकता है, जिसका अर्थ है, क्रमशः, कि इस लाइन में CA सार्वजनिक कुंजी लिखी गई है या कि यह कुंजी निरस्त कर दी गई है और इसका उपयोग नहीं किया जा सकता है।
लाइन के अंत में एक मनमाना टिप्पणी हो सकती है

सर्वर का नाम

उदाहरण में, सर्वर (होस्ट) की ओर से हैश इस तरह दिखता है:

| 1 | CuXixZ + EWfgz40wpkMugPHPalyk = | KNoVhur7z5NAZmNndtwWq0kN1SQ =

वास्तव में, स्पष्ट पाठ में होस्ट नाम या मान्य नामों के सेट को निर्दिष्ट करने वाला मुखौटा यहां लिखा जा सकता है। लेकिन मेरा डिफ़ॉल्ट हैश नाम सहेजा गया है। प्रतीक द्वारा रिकॉर्ड को 3 भागों में विभाजित किया गया है "" | पहला भाग हैशिंग एल्गोरिथ्म है। "1" HMAC-SHA1 से मेल खाती है (मैंने दूसरों को नहीं देखा है)। दूसरा भाग नमक (HMAC के लिए कुंजी) है। तीसरा भाग हैश ही (HMAC आउटपुट) है।

चेक

from base64 import b64decode import hmac salt = b64decode("CuXixZ+EWfgz40wpkMugPHPalyk=") host = b'192.168.0.2' hash = hmac.HMAC(salt, host, 'sha1').digest() print(b64encode(hash).decode())

> 'KNoVhur7z5NAZmNndtwWq0kN1SQ ='

असममित एल्गोरिथ्म

RFC-4253 4 असममित एल्गोरिदम को सूचीबद्ध करता है: ssh-dss (मानक द्वारा अनिवार्य, लेकिन कमजोर माना जाता है और OpenSSH7.0 के बाद से डिफ़ॉल्ट रूप से बंद हो गया है), ssh-rsa (अनुशंसित), pgp-sign-rsa (वैकल्पिक), pgp- साइन-डीएसएस (वैकल्पिक)। डिफ़ॉल्ट रूप से, पहले दो प्रकार की कुंजियाँ RFC में उल्लिखित अण्डाकार वक्र एल्गोरिदम के लिए लिनक्स में उत्पन्न होती हैं। बाद वाला पसंद किया जाता है, लेकिन क्लाइंट HostKeyAl एल्गोरिदम विकल्प के साथ एल्गोरिदम का चयन कर सकता है।

वांछित (डिफ़ॉल्ट नहीं) कुंजी फिंगरप्रिंट की जांच कैसे करें

यह उपयोगी हो सकता है, उदाहरण के लिए, जब आप पहली बार उस सर्वर में प्रवेश करते हैं जिसे आप कुंजी के फिंगरप्रिंट की जांच करना चाहते हैं, और आप केवल ssh-rsa कुंजी के फिंगरप्रिंट को जानते हैं। तब आप इस कमांड से जुड़ सकते हैं:

ssh root@192.168.0.2 -O HostKeyAl एल्गोरिदम = ssh-rsa

यदि आपको एक प्रमुख हैशिंग एल्गोरिथ्म को निर्दिष्ट करने की आवश्यकता है, तो आप फिंगरप्रिंटप्रिंट विकल्प का उपयोग कर सकते हैं। उदाहरण के लिए, यदि केवल md5 ssh-rsa से जाना जाता है, तो आप इस तरह से कनेक्ट कर सकते हैं:

ssh root@192.168.0.2 -O HostKeyAl एल्गोरिदम = ssh-rsa -o FingerprintHash = md5

सार्वजनिक कुंजी

ज्ञात_होस्ट में सार्वजनिक कुंजी वही है जो सर्वर पर /etc/ssh/ssh_host_rsa_key.pub फ़ाइल में दर्ज की गई है (rsa के बजाय उपयोग किए गए एल्गोरिथ्म का नाम बदलें)। यदि आप बेस 64 एन्कोडिंग को हटाते हैं, तो अंदर फिर से एल्गोरिथ्म और वास्तविक प्रमुख घटकों का नाम होगा।

क्यों नहीं निकाला गया Base64

 b'\x00\x00\x00\x07ssh-rsa\x00\x00\x00\x03\x01\x00\x01\x00\x00\x01\x01\x00\x9e\x88^\x0e8\xe5!Z\xf3\x98\xae\x1f\xde\xe2\xafu\xfa,\xfe\x8b\xd4\xb4\xb3s6,\xfa\xbe\x18\x08Q\x96\x12\xad\xe6\xf2\xb2\x11Wz\xc7\xa9\xb6\xe9\xc7=\xf1\x8f\x92Ay\xc2\x07\xd1\x96yV$\xf29E\x1cE\xe7c\x86\x16yb\xc3\xc1r!\x1c\x12X\xb7\x9c\xb3\xde>V\x92\x0fy\xc7\xe9\x8f\xbc\xefE- d\xfc\tv\x19\xb1\xf9\xab\xa1~\x85\x92%.c\xbar"\x12\x99~\x13\xb5\xc1\xb5\xb3\x0e\x12\xc2\x84\xc0\x0e\xba\xe1t\xcd\x0e%\xdf\x9c\xe4%<\x8a\xa0\x9bs\xa3\xf3\x9d\x86\xcbep\xaf\xa8\xf6SY\xe4\x9bL\xb5\x1cR\xedS\x8b\xee\xf1\x1b\x04\xfc\x0c_\xad#"\xc5qO\xb3\xc5\xdd\x10\x9f\x02Hl\xdb\xde\xc2A\xec\xd0\xbb\x0c9aU??\xcdwE\xe2Ux\xa6_\xeb\xa0\x080Y\xff\x8a\xbc5L\x07\xf5!\xb3\x08\xc0/\x9ez\xfe\x0fR<_k\xe1J\xe4lN\xc4\x17/\x93\xf7\xbd\xff\x1e\x94<Ot:\xcc\'3m\x94\x10\x9b-l\xd5'

यह देखा जा सकता है कि 4 बाइट्स हैं जिसमें फ़ील्ड की लंबाई लिखी जाती है, फिर फ़ील्ड स्वयं, आदि। पहला फ़ील्ड एल्गोरिथम का नाम है, बाकी विशेष एल्गोरिथ्म पर निर्भर करता है। उपरोक्त कुंजी में, 3 फ़ील्ड:

 b'ssh-rsa' -  b'\x01\x00\x01' -   b'\x00\x9e\x88^\x0e8\xe5!Z\xf3\x98\xae\x1f\xde\xe2\xafu\xfa,\xfe\x8b\xd4\xb4\xb3s6,\xfa\xbe\x18\x08Q\x96\x12\xad\xe6\xf2\xb2\x11Wz\xc7\xa9\xb6\xe9\xc7=\xf1\x8f\x92Ay\xc2\x07\xd1\x96yV$\xf29E\x1cE\xe7c\x86\x16yb\xc3\xc1r!\x1c\x12X\xb7\x9c\xb3\xde>V\x92\x0fy\xc7\xe9\x8f\xbc\xefE- d\xfc\tv\x19\xb1\xf9\xab\xa1~\x85\x92%.c\xbar"\x12\x99~\x13\xb5\xc1\xb5\xb3\x0e\x12\xc2\x84\xc0\x0e\xba\xe1t\xcd\x0e%\xdf\x9c\xe4%<\x8a\xa0\x9bs\xa3\xf3\x9d\x86\xcbep\xaf\xa8\xf6SY\xe4\x9bL\xb5\x1cR\xedS\x8b\xee\xf1\x1b\x04\xfc\x0c_\xad#"\xc5qO\xb3\xc5\xdd\x10\x9f\x02Hl\xdb\xde\xc2A\xec\xd0\xbb\x0c9aU??\xcdwE\xe2Ux\xa6_\xeb\xa0\x080Y\xff\x8a\xbc5L\x07\xf5!\xb3\x08\xc0/\x9ez\xfe\x0fR<_k\xe1J\xe4lN\xc4\x17/\x93\xf7\xbd\xff\x1e\x94<Ot:\xcc\'3m\x94\x10\x9b-l\xd5' -  N (0x101 * 8 = 2048 )

कुंजी फिंगरप्रिंट (फिंगरप्रिंट)

पहले कनेक्शन पर सत्यापित किए जाने के लिए प्रस्तावित कुंजी का फिंगरप्रिंट अंतिम पैराग्राफ और /etc/ssh/ssh_host_rsa_key.pub से सार्वजनिक कुंजी से इसी हैश (उदाहरण में, SHA256) है। यह SHA परिवार के कार्यों के लिए या MD5 के लिए हेक्स में base64 में एन्कोडेड है।

हम विचार करते हैं

 from hashlib import sha256 from base64 import b64decode, b64encode pub_key_bin = b64decode("AAAAB3NzaC1yc2EAAAADAQABAAABAQCeiF4OOOUhWvOYrh/e4q91+iz+i9S0s3M2LPq+GAhRlhKt5vKyEVd6x6m26cc98Y+SQXnCB9GWeVYk8jlFHEXnY4YWeWLDwXIhHBJYt5yz3j5Wkg95x+mPvO9FLSBk/Al2GbH5q6F+hZIlLmO6ciISmX4TtcG1sw4SwoTADrrhdM0OJd+c5CU8iqCbc6PznYbLZXCvqPZTWeSbTLUcUu1Ti+7xGwT8DF+tIyLFcU+zxd0QnwJIbNvewkHs0LsMOWFVPz/Nd0XiVXimX+ugCDBZ/4q8NUwH9SGzCMAvnnr+D1I8X2vhSuRsTsQXL5P3vf8elDxPdDrMJzNtlBCbLWzV") hash = sha256(pub_key_bin).digest() fingerprint = b64encode(hash) print(fingerprint) > b'kd9mRkEGLo+RBBNpxKp7mInocF3/Yl/0fXRsGJ2JfYg=' + iz + i9S0s3M2LPq + GAhRlhKt5vKyEVd6x6m26cc98Y + SQXnCB9GWeVYk8jlFHEXnY4YWeWLDwXIhHBJYt5yz3j5Wkg95x + mPvO9FLSBk / Al2GbH5q6F + hZIlLmO6ciISmX4TtcG1sw4SwoTADrrhdM0OJd + c5CU8iqCbc6PznYbLZXCvqPZTWeSbTLUcUu1Ti + 7xGwT8DF + tIyLFcU + zxd0QnwJIbNvewkHs0LsMOWFVPz / Nd0XiVXimX + ugCDBZ / 4q8NUwH9SGzCMAvnnr + D1I8X2vhSuRsTsQXL5P3vf8elDxPdDrMJzNtlBCbLWzV") from hashlib import sha256 from base64 import b64decode, b64encode pub_key_bin = b64decode("AAAAB3NzaC1yc2EAAAADAQABAAABAQCeiF4OOOUhWvOYrh/e4q91+iz+i9S0s3M2LPq+GAhRlhKt5vKyEVd6x6m26cc98Y+SQXnCB9GWeVYk8jlFHEXnY4YWeWLDwXIhHBJYt5yz3j5Wkg95x+mPvO9FLSBk/Al2GbH5q6F+hZIlLmO6ciISmX4TtcG1sw4SwoTADrrhdM0OJd+c5CU8iqCbc6PznYbLZXCvqPZTWeSbTLUcUu1Ti+7xGwT8DF+tIyLFcU+zxd0QnwJIbNvewkHs0LsMOWFVPz/Nd0XiVXimX+ugCDBZ/4q8NUwH9SGzCMAvnnr+D1I8X2vhSuRsTsQXL5P3vf8elDxPdDrMJzNtlBCbLWzV") hash = sha256(pub_key_bin).digest() fingerprint = b64encode(hash) print(fingerprint) > b'kd9mRkEGLo+RBBNpxKp7mInocF3/Yl/0fXRsGJ2JfYg='

हम देखते हैं कि हैश वास्तव में पहले कनेक्शन (लेख की शुरुआत में बोली) के दौरान दिखाए गए फिंगरप्रिंट से मेल खाता है, अंत में "=" प्रतीक तक।

यहां ज्ञात_होस्ट्स फ़ाइल में होस्ट खोजने के लिए एक छोटा सा कार्यक्रम है, जो प्रयोगों के दौरान दिखाई दिया।

.Ssh / ज्ञात_होस्ट फ़ाइल में क्या लिखा है

सर्वर का नाम

असममित एल्गोरिथ्म

सार्वजनिक कुंजी

कुंजी फिंगरप्रिंट (फिंगरप्रिंट)

More articles: