Hostsleutels voor ondersteuning voor SSH File Transfer Protocol (SFTP) voor Azure Blob Storage

Dit artikel bevat een lijst met geldige hostsleutels die worden gebruikt om verbinding te maken met Azure Blob Storage vanuit SFTP-clients.

Blob Storage ondersteunt nu het SSH File Transfer Protocol (SFTP). Deze ondersteuning biedt de mogelijkheid om veilig verbinding te maken met Blob Storage via een SFTP-eindpunt, zodat u SFTP kunt gebruiken voor bestandstoegang, bestandsoverdracht en bestandsbeheer. Zie SSH File Transfer Protocol (SFTP) ondersteuning voor Azure Blob Storage voor meer informatie.

Wanneer u verbinding maakt met Blob Storage met behulp van een SFTP-client, wordt u mogelijk gevraagd een hostsleutel te vertrouwen. U kunt de hostsleutel controleren door die sleutel te vinden in de lijst die in dit artikel wordt weergegeven.

Veelgestelde vragen

Wat zijn SSH-hostsleutels?

SSH-hostsleutels zijn openbare/persoonlijke sleutelparen die deel uitmaken van SSH- en SFTP-servers. Ze worden door clients gebruikt om de identiteit van de server te verifiëren wanneer er verbinding wordt gemaakt. De persoonlijke sleutel wordt opgeslagen aan de serverzijde, terwijl de openbare sleutel tijdens de verbindingsbewerking aan de client wordt gepresenteerd. De meeste clients geven de gebruiker een optie om de sleutel te verifiëren en te accepteren, waardoor de verbinding kan worden voortgezet.

Meer informatie vindt u hier: SSH Host Key Management Gedemystified.

Verschillen SSH-hostsleutels van de SSH-sleutels die worden gebruikt voor aanmelding?

Ja. SSH-hostsleutels zijn afzonderlijke persoonlijke/openbare sleutelparen die behoren tot de server. Het persoonlijke/openbare sleutelpaar dat wordt gebruikt voor aanmelding, is volledig gescheiden en beheerd door de gebruiker. Roulatie van hostsleutels heeft geen invloed op de SSH-sleutels van de gebruiker.

Wat moeten clients doen met de hostsleutels?

U wordt aangeraden de nieuwe hostsleutel toe te voegen aan de lijst met vertrouwde hosts van de client. Houd er rekening mee dat de stappen voor deze actie verschillen op basis van de SFTP-client die wordt gebruikt. Dit zijn de meest voorkomende manieren waarop clients vertrouwde hosts opslaan:

• known_hosts bestand
• Windows-registersleutel (Windows-specifieke clients)
• Variabele (op bibliotheek gebaseerde clients)

known_hosts voorbeeld

Dit bestand wordt vaak opgeslagen onder het volgende lokale pad: ~/.ssh/known_hosts. Het bestand heeft een regel per bekende host en elke regel kan een indeling volgen die vergelijkbaar is met: <server hostname> <algorithm> <host key>.

Er is waarschijnlijk al een vermelding voor uw opslagaccount vanaf de eerste keer dat u verbinding hebt gemaakt. Hieronder kan een nieuwe vermelding worden toegevoegd met de nieuwere sleutel voor dezelfde regio en hetzelfde algoritme. Zodra dit is toegevoegd, ziet deze er ongeveer als volgt uit:Australia Centralecdsa-sha2-nistp256

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBElXRuNJbnDPWZF84vNtTjt4I/842dWBPvPi2fkgOV//2e/Y9gh0koVVAYp6MotNodg4L9MS7IfV9nnFSKaJW3o=

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBLs9yqrEGdGvgdSWkAK5YkyazMWi30X+E6J/CiGpJwbuczVJwT/cwh+mxnE7DMTwhEo57jL7/wi/WT8CPfPpD4I=

De eerste vermelding is voor de sleutel die momenteel wordt gebruikt door de service, die eerder verloopt. De tweede vermelding is voor de volgende sleutel die na rotatie wordt gebruikt. Beide vermeldingen zorgen voor een soepele overgang wanneer de rotatie plaatsvindt.

Voorbeeld van registersleutel

Voor een Windows-client, zoals WinSCP, worden vertrouwde hosts opgeslagen in een registersleutel: HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\SshHostKeys.

Wanneer er een nieuwe hostsleutel wordt weergegeven, wordt u gevraagd om de sleutel te accepteren. U kunt de SHA256-vingerafdruk vergelijken met de relevante sleutel in de onderstaande tabel en accepteren als deze overeenkomt. WinSCP voegt vervolgens de nieuwe sleutel toe aan de cache voor de toekomst.

Voorbeeld van bibliotheekclient

Voor een bibliotheekclient, zoals SSH.NET, lijkt verificatie van hostsleutels op het volgende codefragment:

string expectedFingerPrint = "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=";

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrint.Equals(e.FingerPrintSHA256);
        };
    client.Connect();
}

Als u rekening wilt houden met de volgende hostsleutel, kan de volgende wijziging worden aangebracht:

List<string> expectedFingerPrints = new List<string>() { "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=", "5Vot7f2reXMzE6IR9GKiDCOz/bNf3lA0qYnBQzRgObo=" };

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrints.Contains(e.FingerPrintSHA256);
        };
    client.Connect();
}

Kunnen clients alleen de nieuwe hostsleutel accepteren wanneer de oude verloopt?

Ja, maar dit is geen naadloze overgang. Wanneer de nieuwe sleutel voor het eerst wordt weergegeven, kan de client dit type bericht retourneren en de verbinding verbreken:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
Please contact your system administrator.
Add correct host key in C:\\Users\\<user>/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in C:\\Users\\<user>/.ssh/known_hosts:8
Host key for <account>.blob.core.windows.net has changed and you have requested strict checking.
Host key verification failed.
Connection closed

Dit gebeurt omdat de client alleen de oude sleutel known_hostsheeft, die verschilt van de sleutel die door de server wordt gepresenteerd. De verbinding treedt op als veiligheidsmaatregel. Als u opnieuw verbinding wilt maken, moet de client de oude vermelding verwijderen en known_hosts vervolgens opnieuw verbinding maken. Hierdoor kan de client de hostsleutel verifiëren en accepteren:

The authenticity of host 'blob.cbn06prdstr01a.store.core.windows.net' can't be established.
ECDSA key fingerprint is SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
This host key is known by the following other names/addresses:
    C:\Users\<user>/.ssh/known_hosts:12: blob.cbn06prdstr01a.store.core.windows.net
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Verificatie omvat het vergelijken van de vingerafdruk van de clientuitvoer met de vingerafdruk die is opgeslagen in de onderstaande tabel. Als deze overeenkomen, typt yes u om door te gaan en slaat de client de nieuwe sleutel automatisch op in de known_hosts toekomst.

Wat is de tijdlijn voor de sleutelrotatie?

Wanneer een hostsleutel verloopt, begint Azure Storage met het rouleren van hostsleutels over alle opslagaccounts. Verschillende opslagaccounts ervaren de sleutelrotatie op verschillende momenten. Alle opslagaccounts zouden binnen enkele maanden hun hostsleutels moeten zien roteren.

Hoe lang duurt de rotatie?

De rotaties zijn geleidelijk en kunnen meerdere weken duren. Zodra de hostsleutelrotatie voor een opslagaccount is begonnen, kan gedurende deze periode zowel de oude als de nieuwe hostsleutel door de Azure-service worden gepresenteerd. Tijdens de rotatie konden clients de oude host-sleutel zien verschijnen, zelfs nadat de nieuwe voor het eerst was gezien.

Is het een harde vervaldatum?

No. De vervaldatum markeert de datum waarop Azure Storage begint met het roteren van hostsleutels. Als je je clients niet vóór deze datum bijwerkt, is het mogelijk dat je direct de nieuwe hostsleutel ziet, maar het is ook mogelijk dat je de vorige hostsleutel nog steeds ziet totdat alle hostsleutels zijn geroteerd.

Waarom verlopen de hostsleutels?

Het periodiek roteren van geheimen is een standaardbeveiligingspraktijk en kan helpen bij het verminderen van aanvalsvectoren.

Is het prima om strikte verificatie van hostsleutels uit te schakelen?

Nee, we raden u niet aan strikte verificatie van hostsleutels uit te schakelen. Als u de hostsleutel controleert die tijdens de verbinding wordt weergegeven tegen de hostsleutels die hier worden gepubliceerd, kunnen clients zichzelf beschermen tegen een mogelijke MITM-aanval (Man-In-The-Middle).

Geldige hostsleutels

¹ De SHA 256-vingerafdruk wordt gebruikt door Open SSH en WinSCP.

Zie ook

• Ondersteuning voor SSH File Transfer Protocol (SFTP) voor Azure Blob Storage
• Verbinding maken met Azure Blob Storage met behulp van het SSH File Transfer Protocol (SFTP)
• Beperkingen en bekende problemen met SSH File Transfer Protocol (SFTP) voor Azure Blob Storage
• Prestatieoverwegingen voor SSH File Transfer Protocol (SFTP) in Azure Blob Storage