Host Key Verification Failed 错误诊断与处理 – wiki词典

作者： /

主机密钥验证失败 (Host Key Verification Failed)：诊断与处理

在日常的开发和运维工作中，我们经常会使用SSH（Secure Shell Protocol）协议来远程连接服务器、进行代码版本控制（如Git）操作或者文件传输（如SCP、SFTP）。然而，有时我们会遇到一个令人头疼的错误：“Host Key Verification Failed”。这个错误提示着客户端与服务器之间的安全信任链出现了问题。本文将详细探讨“Host Key Verification Failed”错误的原因、诊断方法以及如何有效处理。

什么是主机密钥？

在深入了解错误之前，我们首先需要理解什么是主机密钥。当您第一次通过SSH连接到一台服务器时，服务器会将其“公钥指纹”（Host Key Fingerprint）发送给您的客户端。客户端会提示您是否信任这个指纹，如果选择信任，它会将这个指纹存储在本地的~/.ssh/known_hosts文件中。

主机密钥的作用：

  1. 身份验证： 客户端通过比对服务器发送的公钥指纹与其本地known_hosts文件中记录的指纹，来验证服务器的身份。这可以防止中间人攻击（Man-in-the-Middle, MITM），即恶意第三方伪装成目标服务器来窃取您的凭据或数据。
  2. 安全性： 确保您连接的始终是您之前连接过的或您信任的服务器。

“Host Key Verification Failed”错误的原因

当客户端发现服务器提供的公钥指纹与本地known_hosts文件中记录的不匹配时，就会抛出“Host Key Verification Failed”错误。这通常有以下几种原因：

  1. 服务器重新安装或重置： 服务器的操作系统被重新安装，或者SSH服务被重新配置，导致其生成了新的主机密钥。
  2. 服务器IP地址或域名变更： 如果服务器的IP地址或域名发生了变化，但known_hosts文件中仍然记录着旧的地址/域名与密钥的关联，连接时就会出现不匹配。
  3. 中间人攻击（Man-in-the-Middle Attack）： 这是最需要警惕的情况。如果攻击者劫持了您的连接，伪装成目标服务器，它会向您提供一个伪造的主机密钥。此时，客户端检测到与本地记录不符，会立即发出警告。
  4. 负载均衡或高可用环境： 在某些高可用架构中，后端可能有多个服务器实例共享同一个IP或域名。如果这些实例的主机密钥不同，并且您的连接随机地路由到了一个拥有不同密钥的实例，也可能触发此错误。
  5. 配置文件错误： 极少数情况下，SSH客户端的配置文件（如~/.ssh/config）可能包含错误配置，导致客户端尝试连接错误的服务器或使用错误的认证方式。
  6. Git操作： 当通过SSH协议使用Git（例如git clone [email protected]:user/repo.git）时，如果Git服务器的主机密钥发生变化，也会出现此错误。

诊断步骤

当遇到“Host Key Verification Failed”错误时，请按照以下步骤进行诊断：

  1. 仔细阅读错误信息： SSH通常会提供详细的错误信息，包括发生问题的IP地址或域名，以及本地known_hosts文件中冲突的行号。例如：
    @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
    @ WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! @
    @@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
    IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
    Someone could be eavesdropping on you right now (man-in-the-middle attack)!
    It is also possible that a host key has just been changed.
    The fingerprint for the RSA key sent by the remote host is
    SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.
    Please contact your system administrator.
    Add correct host key in /home/user/.ssh/known_hosts to get rid of this message.
    Offending key in /home/user/.ssh/known_hosts:8
    RSA host key for 192.168.1.100 has changed and you have requested strict checking.
    Host key verification failed.
    请注意 Offending key in /home/user/.ssh/known_hosts:8 这行，它指明了冲突发生在 known_hosts 文件的第8行。

  2. 确认服务器状态：

    • 联系服务器管理员： 最稳妥的方法是联系服务器管理员或所有者，询问他们是否最近对服务器进行了重装、重置或SSH配置更改。同时，可以要求他们提供服务器新的SSH公钥指纹。
    • 如果服务器是您自己的： 登录到服务器（可能需要通过控制台或其他方式），查看/etc/ssh/ssh_host_rsa_key.pub（或其他类型的密钥文件，如dsa、ecdsa、ed25519）的内容，特别是其指纹。您可以使用ssh-keygen -lf /etc/ssh/ssh_host_rsa_key.pub命令来获取指纹。将其与客户端报告的指纹进行比对。

  3. 检查网络环境： 确认您的网络连接是否安全。如果您连接的是公共Wi-Fi或不信任的网络，MITM攻击的风险会更高。

处理方法

根据诊断结果，采取相应的处理措施：

情景一：确认服务器主机密钥确实已更改（安全情况）

如果服务器管理员确认主机密钥已更改，或者您自己重置了服务器，那么这个错误是预期的。处理方法是更新本地的known_hosts文件。

  1. 手动编辑 known_hosts 文件：

    • 根据错误信息中提示的行号，打开~/.ssh/known_hosts文件。
    • 找到冲突的行，将其删除。
    • 保存文件并关闭。
    • 再次尝试SSH连接。此时，客户端会提示您是否信任新的主机密钥，确认指纹无误后选择“yes”。
    • 示例： vi ~/.ssh/known_hosts，然后根据行号找到并删除。

  2. 使用 ssh-keygen -R 命令（推荐）：

    • 这是更安全、更便捷的方式。它会从known_hosts文件中移除指定主机的所有旧密钥。
    • 命令格式： ssh-keygen -R <hostname_or_ip>
    • 示例： ssh-keygen -R 192.168.1.100 或 ssh-keygen -R example.com
    • 执行此命令后，再次尝试SSH连接，然后接受新的主机密钥。

情景二：无法确认服务器状态，或怀疑存在中间人攻击（不安全情况）

如果无法联系到服务器管理员，或者有任何理由怀疑存在安全问题， 绝对不要直接删除旧密钥并接受新密钥。

  1. 暂停连接： 立即停止所有与该服务器的SSH连接尝试。
  2. 寻求帮助： 尽快联系服务器管理员或安全专家，提供详细的错误信息和您的疑虑。
  3. 通过其他安全通道验证： 如果可能，尝试通过其他安全且独立的通信渠道（例如，电话、物理访问服务器、或通过VPN连接到内部网络）与服务器管理员沟通，以获取服务器的最新主机密钥指纹，并与客户端报告的指纹进行比对。
  4. 检查网络安全： 确保您的本地网络环境没有被入侵。
  5. 仅在确认安全后操作： 只有在确凿无疑地确认服务器主机密钥确实已合法更改，并且没有安全威胁的情况下，才执行上述“情景一”中的处理步骤。

情景三：Git操作中遇到此错误

当使用Git遇到此错误时，例如在执行git clone、git pull、git push等命令时，解决方法与上述类似：

  1. 确定是哪个Git远程仓库导致的问题： 通常错误信息会指明是哪个Git服务（如GitHub、GitLab、Bitbucket）的主机密钥出现问题。
  2. 使用 ssh-keygen -R 移除旧密钥：
    • 对于GitHub，运行 ssh-keygen -R github.com。
    • 对于其他服务，替换成相应的域名。
  3. 重新尝试Git操作： 此时会提示您是否接受新的主机密钥，确认无误后输入yes。

最佳实践与防范

  • 定期更新系统： 保持操作系统和SSH客户端软件的最新状态，以修补已知的安全漏洞。
  • 使用长而复杂的密码短语： 如果您使用密码进行SSH认证，请确保其强度足够。
  • 优先使用SSH密钥对认证： 相较于密码，密钥对认证更安全、更便捷。
  • 避免在不安全的网络上进行SSH操作： 尽量在您信任的网络环境中使用SSH。如果必须在公共网络使用，请考虑通过VPN连接。
  • 熟悉主机密钥指纹： 如果您管理多台服务器，可以记录下它们的SSH公钥指纹，以便在出现问题时进行快速比对。
  • 教育用户： 如果您是系统管理员，请教育您的用户，当遇到“Host Key Verification Failed”错误时，不要盲目接受新密钥，而是先联系管理员确认。

总结

“Host Key Verification Failed”是一个重要的安全提示，它旨在保护您的SSH连接免受中间人攻击。虽然有时它只是服务器正常维护的副作用，但我们绝不能掉以轻心。通过仔细诊断、确认服务器状态，并采取正确的处理措施，我们可以有效地解决这个错误，并确保SSH通信的安全性。永远记住，在不确定的情况下，安全总是第一位的。

滚动至顶部