Поддержка ключей хоста для протокола передачи файлов SSH (SFTP) хранилища BLOB-объектов Azure

В этой статье содержится список допустимых ключей хоста, используемых для подключения к хранилищу BLOB-объектов Azure от клиентов SFTP.

Хранилище BLOB-объектов теперь поддерживает протокол передачи файлов SSH (SFTP). Эта поддержка обеспечивает возможность безопасного подключения к хранилищу BLOB-объектов через конечную точку SFTP, позволяя использовать SFTP для доступа к файлам, передачи файлов, а также управления файлами. Дополнительные сведения см. в статье Поддержка протокола передачи файлов SSH (SFTP) для хранилища BLOB-объектов Azure.

При подключении к хранилищу BLOB-объектов с помощью клиента SFTP может появиться запрос о доверии ключу хоста. Ключ узла можно проверить, найдя этот ключ в списке, представленном в этой статье.

Часто задаваемые вопросы

Что такое ключи узла SSH?

Ключи узла SSH — это пары открытых и закрытых ключей, принадлежащие серверам SSH и SFTP. Они используются клиентами для проверки удостоверения сервера при подключении. Закрытый ключ хранится на стороне сервера, а открытый ключ представляется клиенту во время операции подключения. Большинство клиентов будут представлять пользователю возможность проверить ключ и принять его, что позволит продолжить подключение.

Дополнительные сведения см. здесь: управление ключами узла SSH demystified.

Отличаются ли ключи узла SSH от ключей SSH, используемых для входа?

Да. Ключи узла SSH — это отдельные пары закрытых и открытых ключей, принадлежащие серверу. Пара закрытых и открытых ключей, используемая для входа, полностью отделена и управляется пользователем. Поворот ключа узла не влияет на ключи SSH пользователя.

Что следует делать клиентам с ключами узла?

Рекомендуется добавить новый ключ узла в список доверенных узлов клиента. Обратите внимание, что шаги для этого действия будут отличаться в зависимости от используемого клиента SFTP. Это наиболее распространенные способы хранения доверенных узлов клиентами:

• Файл known_hosts
• Раздел реестра Windows (определенные клиенты Windows)
• Переменная (клиенты на основе библиотеки)

Пример known_hosts

Этот файл часто хранится в следующем локальном пути: ~/.ssh/known_hosts Файл будет иметь строку на известный узел, и каждая строка может соответствовать формату, аналогичному следующему: <server hostname> <algorithm> <host key>

Скорее всего, запись учетной записи хранения уже включена при первом подключении. Новую запись можно добавить под ним с помощью более нового ключа для того же региона и алгоритма. После добавления этот пример Australia Centralecdsa-sha2-nistp256будет выглядеть примерно так:

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBElXRuNJbnDPWZF84vNtTjt4I/842dWBPvPi2fkgOV//2e/Y9gh0koVVAYp6MotNodg4L9MS7IfV9nnFSKaJW3o=

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBLs9yqrEGdGvgdSWkAK5YkyazMWi30X+E6J/CiGpJwbuczVJwT/cwh+mxnE7DMTwhEo57jL7/wi/WT8CPfPpD4I=

Первая запись — это ключ, используемый службой, который истекает раньше. Вторая запись — для следующего ключа, который будет использоваться после поворота. Наличие обоих записей позволяет плавно переходить при повороте.

Пример раздела реестра

Для клиента под управлением Windows, например WinSCP, доверенные узлы хранятся в разделе реестра: HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\SshHostKeys

При появлении нового ключа узла WinSCP предложит принять ключ. Вы можете сравнить отпечаток SHA256 с соответствующим ключом в таблице ниже и принять, соответствует ли он. WinSCP добавит новый ключ в кэш для будущего.

Пример клиента библиотеки

Для клиента на основе библиотеки, например SSH.NET, проверка ключа узла напоминает следующий фрагмент кода:

string expectedFingerPrint = "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=";

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrint.Equals(e.FingerPrintSHA256);
        };
    client.Connect();
}

Чтобы учесть следующий ключ узла, можно внести следующее изменение:

List<string> expectedFingerPrints = new List<string>() { "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=", "5Vot7f2reXMzE6IR9GKiDCOz/bNf3lA0qYnBQzRgObo=" };

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrints.Contains(e.FingerPrintSHA256);
        };
    client.Connect();
}

Могут ли клиенты просто принять новый ключ узла, когда срок действия старого ключа истекает?

Да, но это не будет простым переходом. При первом появлении нового ключа клиент может вернуть этот тип сообщения и отключить:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
Please contact your system administrator.
Add correct host key in C:\\Users\\<user>/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in C:\\Users\\<user>/.ssh/known_hosts:8
Host key for <account>.blob.core.windows.net has changed and you have requested strict checking.
Host key verification failed.
Connection closed

Это происходит потому, что клиент имеет только старый ключ, known_hostsкоторый отличается от ключа, представленного сервером. Отключение происходит в качестве меры безопасности. Чтобы снова подключиться, клиенту потребуется удалить старую запись, known_hosts а затем повторить подключение. Это даст клиенту возможность проверить ключ узла и принять его:

The authenticity of host 'blob.cbn06prdstr01a.store.core.windows.net' can't be established.
ECDSA key fingerprint is SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
This host key is known by the following other names/addresses:
    C:\Users\<user>/.ssh/known_hosts:12: blob.cbn06prdstr01a.store.core.windows.net
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Проверка будет включать сравнение отпечатка пальца из выходных данных клиента с одним, хранящимся в таблице ниже. Если они соответствуют, введите yes , чтобы продолжить, и клиент будет автоматически хранить новый ключ в known_hosts будущем.

Каковы сроки ротации ключей?

Когда ключ хоста истекает, служба хранилища Azure начинает процесс ротации ключей хоста между всеми аккаунтами хранения. Разные аккаунты хранения будут испытывать ротацию ключа в разное время. Все аккаунты хранения должны получить ротацию ключей хоста в течение нескольких месяцев.

Сколько времени занимает поворот?

Ротации проходят постепенно и могут занять несколько недель. После начала ротации ключа хоста для аккаунта хранения сервис Azure может быть представлен старым или новым ключом. Во время ротации клиенты могли видеть, как старый ключ хоста отображается даже после первого появления нового.

Это жёсткий срок годности?

No. Дата истечения срока действия отмечает дату, когда служба хранилища Azure начнёт вращать ключи хоста. Если вы не обновите клиентов до этой даты, возможно, вы сразу начнёте видеть новый ключ хоста, но также возможно, что предыдущий ключ остался до тех пор, пока все ключи хоста не будут повернуты.

Почему срок действия ключей узла истекает?

Периодическое смена секретов является стандартной практикой безопасности и может помочь уменьшить векторы атак.

Можно ли отключить строгую проверку ключа узла?

Нет, не рекомендуется отключить строгую проверку ключа узла. Проверка ключа узла, представленного во время подключения к ключам узла, опубликованным здесь, позволяет клиентам защищать себя от потенциальной атаки MAN-In-The-Middle (MITM).

Допустимые ключи хоста

¹ Отпечаток SHA 256 используется в Open SSH и WinSCP.

См. также

• Поддержка протокола передачи файлов SSH (SFTP) хранилища BLOB-объектов Azure
• Подключение к службе хранилища BLOB-объектов Azure с помощью протокола SFTP
• Ограничения и известные проблемы с поддержкой протокола SFTP в Хранилище BLOB-объектов Azure
• Факторы производительности протокола SFTP SSH в хранилище BLOB-объектов Azure