Azure Blob Depolama için SSH Dosya Aktarım Protokolü (SFTP) desteği için konak anahtarları

Bu makale, SFTP istemcilerinden Azure Blob Depolama bağlanmak için kullanılan geçerli konak anahtarlarının listesini içerir.

Blob depolama artık SSH Dosya Aktarım Protokolü'ne (SFTP) destek veriyor. Bu destek, SFTP uç noktası aracılığıyla Blob Depolama'ya güvenli bir şekilde bağlanma olanağı sağlayarak dosya erişimi, dosya aktarımı ve dosya yönetimi için SFTP'den yararlanmanızı sağlar. Daha fazla bilgi için bkz. Azure Blob Depolama için SSH Dosya Aktarım Protokolü (SFTP) desteği.

SFTP istemcisini kullanarak Blob Depolama'ya bağlandığınızda bir konak tuşuna güvenmeniz istenebilir. Bu makalede sunulan listede bu anahtarı bularak konak anahtarını doğrulayabilirsiniz.

Sık sorulan sorular

SSH ana bilgisayar anahtarları nedir?

SSH konak anahtarları, SSH ve SFTP sunucularına ait ortak/özel anahtar çiftleridir. İstemciler, bağlanırken sunucunun kimliğini doğrulamak için kullanılır. Özel anahtar, sunucu tarafında depolanırken, ortak anahtar bağlantı işlemi sırasında istemciye sunulur. çoğu istemci kullanıcıya anahtarı doğrulama ve kabul etme seçeneği sunar ve bu da bağlantının devam etmesine olanak tanır.

Daha fazla ayrıntı burada bulunabilir: SSH Ana Bilgisayar Anahtarı Yönetimi Yetkisini Kaldır.

SSH konak anahtarları, oturum açmak için kullanılan SSH anahtarlarından farklı mı?

Evet. SSH konak anahtarları, sunucuya ait ayrı özel/ortak anahtar çiftleridir. Oturum açma için kullanılan özel/ortak anahtar çifti tamamen ayrıdır ve kullanıcı tarafından yönetilir. Ana bilgisayar anahtarı döndürme işleminin kullanıcının SSH anahtarları üzerinde hiçbir etkisi yoktur.

İstemciler konak anahtarlarıyla ne yapmalıdır?

Yeni ana bilgisayar anahtarını istemcinin güvenilen konaklar listesine eklemenizi öneririz. Bu eyleme yönelik adımların, kullanılan SFTP istemcisine göre farklılık göstereceğini unutmayın. İstemcilerin güvenilen konakları depolamasının en yaygın yolları şunlardır:

• known_hosts dosyası
• Windows kayıt defteri anahtarı (Windows'a özgü istemciler)
• Değişken (kitaplık tabanlı istemciler)

known_hosts örnek

Bu dosya genellikle aşağıdaki yerel yol altında depolanır: ~/.ssh/known_hosts. Dosya bilinen konak başına bir satıra sahip olur ve her satır şuna benzer bir biçim izleyebilir: <server hostname> <algorithm> <host key>.

İlk bağlanışınızdan itibaren depolama hesabınız için zaten bir giriş vardır. Aynı bölge ve algoritma için daha yeni anahtarla altına yeni bir giriş eklenebilir. Eklendikten sonra ve ecdsa-sha2-nistp256için Australia Central bu örneğe benzer olacaktır:

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBElXRuNJbnDPWZF84vNtTjt4I/842dWBPvPi2fkgOV//2e/Y9gh0koVVAYp6MotNodg4L9MS7IfV9nnFSKaJW3o=

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBLs9yqrEGdGvgdSWkAK5YkyazMWi30X+E6J/CiGpJwbuczVJwT/cwh+mxnE7DMTwhEo57jL7/wi/WT8CPfPpD4I=

İlk girdi, hizmet tarafından kullanılmakta olan ve süresi daha erken dolacak olan anahtara yöneliktir. İkinci girdi, döndürmeden sonra kullanılacak bir sonraki anahtar içindir. Her iki girdinin de olması, döndürme gerçekleştiğinde sorunsuz bir geçişe olanak sağlar.

Kayıt defteri anahtarı örneği

WinSCP gibi Windows tabanlı bir istemci için, güvenilen konaklar bir kayıt defteri anahtarında depolanır: HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\SshHostKeys.

Yeni bir konak anahtarı sunulduğunda, WinSCP sizden anahtarı kabul etmenizi ister. SHA256 parmak izini aşağıdaki tabloda yer alan ilgili anahtarla karşılaştırabilir ve eşleşip eşleşmediğini kabul edebilirsiniz. WinSCP daha sonra yeni anahtarı gelecekte önbelleğe ekler.

Kitaplık istemcisi örneği

SSH.NET gibi kitaplık tabanlı bir istemci için konak anahtarı doğrulaması aşağıdaki kod parçacığına benzer:

string expectedFingerPrint = "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=";

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrint.Equals(e.FingerPrintSHA256);
        };
    client.Connect();
}

Sonraki konak anahtarını hesaba eklemek için aşağıdaki değişiklik yapılabilir:

List<string> expectedFingerPrints = new List<string>() { "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=", "5Vot7f2reXMzE6IR9GKiDCOz/bNf3lA0qYnBQzRgObo=" };

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrints.Contains(e.FingerPrintSHA256);
        };
    client.Connect();
}

İstemciler, eskisinin süresi dolduğunda yeni ana bilgisayar anahtarını kabul edebilir mi?

Evet, ancak bu sorunsuz bir geçiş olmayacaktır. Yeni anahtar ilk kez sunulduğunda, istemci bu tür bir ileti döndürebilir ve bağlantıyı kesebilir:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
Please contact your system administrator.
Add correct host key in C:\\Users\\<user>/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in C:\\Users\\<user>/.ssh/known_hosts:8
Host key for <account>.blob.core.windows.net has changed and you have requested strict checking.
Host key verification failed.
Connection closed

Bunun nedeni istemcinin yalnızca içinde known_hostseski anahtarı olmasıdır ve bu anahtar sunucu tarafından sunulan anahtardan farklıdır. Bağlantı kesilmesi bir güvenlik önlemi olarak gerçekleşir. Yeniden bağlanmak için istemcinin eski girdiyi 'den known_hosts silip yeniden bağlanmayı denemesi gerekir. Bu, istemciye konak anahtarını doğrulama ve kabul etme fırsatı verir:

The authenticity of host 'blob.cbn06prdstr01a.store.core.windows.net' can't be established.
ECDSA key fingerprint is SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
This host key is known by the following other names/addresses:
    C:\Users\<user>/.ssh/known_hosts:12: blob.cbn06prdstr01a.store.core.windows.net
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Doğrulama, istemci çıkışındaki parmak izini aşağıdaki tabloda depolanan parmak iziyle karşılaştırmayı içerir. Eşleşiyorsa devam etmek için yazın yes ; istemci yeni anahtarı gelecekte otomatik olarak içinde known_hosts depolar.

Döndürme ne kadar sürer?

Döndürmeler kademelidir ve birkaç hafta sürebilir. Eski veya yeni konak anahtarı bu süre boyunca Azure hizmeti tarafından sunulabilir.

Konak anahtarlarının süresi neden doluyor?

Gizli dizileri düzenli aralıklarla döndürmek standart bir güvenlik uygulamasıdır ve saldırı vektörlerini azaltmaya yardımcı olabilir.

Katı konak anahtarı doğrulamasını devre dışı bırakmak uygun mu?

Hayır, katı ana bilgisayar anahtarı doğrulamasını devre dışı bırakmanızı önermeyiz. Bağlantı sırasında sunulan konak anahtarının burada yayımlanan konak anahtarlarına karşı doğrulanması, istemcilerin kendilerini olası Bir OrtaDaki Adam (MITM) saldırısından korumalarına olanak tanır.

Geçerli konak anahtarları

¹ SHA 256 parmak izi Open SSH ve WinSCP tarafından kullanılır.

Ayrıca bkz.

• Azure Blob Depolama için SSH Dosya Aktarım Protokolü (SFTP) desteği
• SSH Dosya Aktarım Protokolü(SFTP) kullanarak Azure Blob Depolama bağlanma
• Azure Blob Depolama için SSH Dosya Aktarım Protokolü (SFTP) desteğiyle ilgili sınırlamalar ve bilinen sorunlar
• Azure Blob depolamada SSH Dosya Aktarım Protokolü (SFTP) performans konuları