Summary

  • يصف RFC 4251 سجلاً محلياً يربط اسم المضيف بمفتاحه العام؛ وبعد تسجيل اللقاء الأول يقارن العميل كل مفتاح لاحق بما لديه.
  • يحتفظ OpenSSH بهذه الذاكرة في known_hosts. يستطيع سؤال المستخدم عن مفتاح جديد ورفض مفتاح تغيّر لمضيف معروف، كما يستطيع تعلّم مفاتيح إضافية من خادم سبق التحقق منه.

يُبرز الخادم مفتاح المضيف أثناء تبادل مفاتيح SSH. وعلى العميل أن يعرف هل ينتمي هذا المفتاح إلى الخادم الذي قصده المستخدم. يعرض RFC 4251 الصادر في يناير 2006 طريقين: سجل لدى العميل يربط الأسماء بالمفاتيح العامة، أو جهة تصديق موثوقة تثبت الرابطة. يمنح السجل المحلي استقلالاً عن دفتر مركزي؛ وفي المقابل تصبح أول إضافة إلى الدفتر قراراً حقيقياً.

يشرح المعيار ترتيباً عملياً: اقبل المفتاح عند الاتصال الأول، احفظه، ثم قارنه عند كل عودة. هكذا تكتسب الآلة ذاكرة. إذا اعترض شخص اللقاء الأول، أمكنه أن يدس مفتاحه هو في السجل. لذلك يذكر النص فحص بصمة المفتاح عبر قناة أخرى. وبعد تسجيل المفتاح الصحيح، لا يستطيع صاحب مفتاح مختلف أن يتخفى وراء اسم المضيف نفسه بلا أثر.

يسمى دفتر OpenSSH المحلي ~/.ssh/known_hosts. يشرح دليل OpenBSD لأمر ssh(1) أين تُحفظ مفاتيح المضيفين المعروفين وكيف يظهر تحذير واضح عند تغيّر أحدها. التحذير لا يكتب نهاية التحقيق: ربما أعيد بناء الخادم أو بدّل مفتاحه وفق خطة، وربما حضر منتحل. كل ما يعرفه العميل يقيناً أن تقديم اليوم يخالف سجل الأمس. وهذه معلومة تستحق إيقاف الحديث.

في دليل ssh_config(5) ثلاثة أساليب للتعامل مع الزائر الجديد. يطلب StrictHostKeyChecking=ask تأكيد المفتاح غير المعروف ويرفض المفتاح المتغيّر لمضيف معروف. يسجل accept-new الوافدين الجدد تلقائياً، لكنه يرفض التغيّر أيضاً. أما yes فيقتضي إضافة المفاتيح الجديدة مسبقاً باليد. تختلف مراسم التعارف؛ ولا تختفي المقارنة مع الذاكرة.

يمكن إعداد تغيير مشروع قبل لحظة الإنذار. تتيح UpdateHostKeys لخادم تحقّق العميل منه بالفعل أن يعلن مفاتيح مضيف إضافية. يتعلم العميل المفتاح المقبل فيما لا يزال القديم يثبت هوية المتحدث. بهذا يدخل المفتاح الجديد مع من يعرفه الدفتر، ثم يغادر القديم لاحقاً.

تجمع أداة ssh-keyscan المفاتيح العامة وتخرجها بصيغة تصلح للسجل. لكن دليلها يقول إن الجمع وحده لا يثبت صاحب المفتاح؛ يستطيع معترض على الشبكة أن يقدم مفاتيحه. امتلاء الدفتر بسرعة لا يساوي صحة أول سطر فيه. براعة SSH أنه جعل اللقاء التالي مسؤولاً أمام السطر الذي كُتب في اللقاء السابق.