SSH meldet einen geänderten Hostschlüssel: sicher vorgehen

Ihr Ziel

Sie unterscheiden einen erwarteten Schlüsselwechsel von einer ungeklärten Änderung. Die Meldung REMOTE HOST IDENTIFICATION HAS CHANGED bedeutet: Der Server zeigt einen anderen Identitätsschlüssel als zuvor gespeichert.

Was Sie benötigen

Ihre aktuellen Serverdaten, den vollständigen Warnungstext und einen zweiten, vertrauenswürdigen Weg zum Server: die Konsole im angemeldeten Portal oder Unterstützung über ein Kundenticket.

So gehen Sie vor

1. Brechen Sie den SSH-Verbindungsversuch ab. Deaktivieren Sie nicht StrictHostKeyChecking und löschen Sie nicht pauschal die gesamte known_hosts-Datei.
2. Prüfen Sie im Portal, ob Sie wirklich denselben Server und dieselbe IP-Adresse verwenden. Gab es eine beauftragte Neuinstallation oder einen Serverwechsel?
3. Lassen Sie den aktuellen Hostschlüsselfingerabdruck über die vertrauenswürdige Konsole ermitteln oder vom Support bestätigen. Ein vom fraglichen SSH-Zugang selbst gelieferter Wert ist kein unabhängiger Nachweis.
4. Vergleichen Sie den vollständigen bestätigten Fingerabdruck mit dem neu angebotenen Wert. Prüfen Sie auch Schlüsseltyp und Zielport.
5. Erst nach bestätigtem Wechsel entfernen Sie den alten gespeicherten Eintrag für genau dieses Ziel. Bei einem abweichenden Port lautet das Ziel in OpenSSH häufig [IHRE-SERVER-IP]:IHR-SSH-PORT; verwenden Sie den in der Warnung bezeichneten Eintrag.
6. Bauen Sie die Verbindung erneut auf und kontrollieren Sie den neuen Fingerabdruck noch einmal, bevor Sie ihn speichern.

Konkretes Beispiel

Sie haben gestern eine Neuinstallation beauftragt. Heute erscheint eine Warnung. Nach Abgleich des neuen Schlüssels über die Konsole kann der alte Eintrag gezielt ersetzt werden. Ohne Neuinstallation und ohne erklärbare Änderung bleibt die Verbindung unterbrochen, bis das Ziel geklärt ist.

So erkennen Sie den Erfolg

Die neue Verbindung zeigt exakt den unabhängig bestätigten Schlüssel. Anschließend funktioniert die Anmeldung mit dem neuen beziehungsweise weiterhin gültigen Serverkonto.

Hilfe benötigt?

Senden Sie Serverkennung, Zeitpunkt und Warnungstext im Kundenticket. Der öffentliche Hostschlüsselfingerabdruck darf genannt werden. Ein privater Schlüssel oder Passwort gehört nicht in die Nachricht.

Den gespeicherten Eintrag zunächst nur lesen

Mit ssh-keygen -F SERVERADRESSE können Sie auf Ihrem eigenen PC die vorhandene Zuordnung anzeigen. Ersetzen Sie den Platzhalter; bei einem abweichenden Port verwenden Sie gegebenenfalls [SERVERADRESSE]:PORT. Die reine Anzeige verändert keinen Schlüssel. Danach hilft SSH-Zugang prüfen.

Weiterführende Quelle

OpenSSH: Hostschlüssel und bekannte Server