openssh / zertifikat frage

[DelSol]

hallo,

ich tue mir bei einer sache mit openssh (im zusammenhang mit linux/ubuntu) schwer:

wenn ich mich remote via openssh verbinde zeigt er mir ja ein zertifikat an das ich annehmen muss für den verbindungsaufbau. nun, generiert openssh dieses zertifikat von selbst, oder nimmt er das zertifikat was in ubuntu standardmässig dabei ist (das snakeoil)?

wenn er das snakeoil benutzt, möchte ich natürlich ein eigenes erstellen und implementieren. das geht ja mit openssh. aber solange die erste frage nicht wirklich klar ist, bin ich da ein wenig ratlos...

 

[stronzo]

Ich gehe davon aus, dass der Fingerprint den du angezeigt bekommst, von dem Schlüssel ist, der bei Installation des SSH-Servers automatisch generiert wird. Es ist garantiert kein Schlüssel, der mit anderen (wegen identischer Installation) identisch ist, falls du das meinst.

Wenn du absolut sicher sein willst erstell dir einen neuen.

 

[DelSol]

ok bei der installation via apt-get vom openssh erstellt er einen eigenen schlüssel?

das wusste ich nicht. das macht natürlich vieles einfacher. d.h. das der schlüssel den man selbst erstellen und signieren kann via openssh dann nur für ssl und ähnliche geschichten genutzt wird (sofern man ihn gegen das snakeoil zertifikat austauscht)?

 

[stronzo]

ok bei der installation via apt-get vom openssh erstellt er einen eigenen schlüssel?

Beim openssh-server gehe ich davon aus.

das wusste ich nicht. das macht natürlich vieles einfacher. d.h. das der schlüssel den man selbst erstellen und signieren kann via openssh dann nur für ssl und ähnliche geschichten genutzt wird (sofern man ihn gegen das snakeoil zertifikat austauscht)?

Ich hab keine Ahnung was du mit Snakeoil und co meinst, aber mit "ssh-keygen" erstellst du einen key, der nur für ssh zuständig ist. SSL ist wieder was anderes. Kann es sein dass du da was verwechselst?

 

[DelSol]

mit openssh kann man ein schlüsselpaar erstellen das man dann auch für ssl verschlüsselungen nutzen kann, soweit ich das verstanden habe.

snakeoil ist das standardbeispiel zertifikat was immer in ubuntu integriert ist. natürlich sollte man es deswegen nicht wirklich verwenden.

 

[stronzo]

Ok, wenn das so ist...
Kenn mich mit dem Zertifikatsgedöns bei SSL nich aus..

 

[Prinzen Rolle]

Der Schlüssel den du mit ssh-keygen erstellst, hat nichts mit dem SSH Fingerprint deines Systems zu tun, zu dem du connectest.

ssh-keygen erstellt Public und Private-Key für eine Authentifikation per SSH.

Den Key, den du bei erstmaligem Connect quasi als "OK" bei dir aufnimmst, dient dem asymetrischen Verschlüsselungsverfahren von SSH, soweit ich das korrekt im Kopf habe. Diese Schlüssel identifizieren das System einwandfrei.

Wenn du nun das System neu installierst, den Hostnamen aber beibehälst und auch per Hostnamen wieder auf das System connecten willst, dann wirst du bei Putty ne Warmeldung bekommen und bei nem Unix System ein fettes "Host Key changed", und wirst danach deine .ssh/known_hosts um die entsprechende Zeile erleichtern

Die SSH-Host-Keys solltest du unter /etc/ssh finden, oder wo auch immer deine Distri die hinpackt.