适用于 Azure Blob 存储的 SSH 文件传输协议 (SFTP) 主机密钥支持

本文包含用于从 SFTP 客户端连接到 Azure Blob 存储的有效主机密钥列表。

Blob 存储现在支持 SSH 文件传输协议 (SFTP)。 此项支持提供通过 SFTP 终结点安全连接到 Blob 存储的功能，使你可以利用 SFTP 进行文件访问、文件传输和文件管理。 有关详细信息，请参阅适用于 Azure Blob 存储的 SSH 文件传输协议 (SFTP) 支持。

使用 SFTP 客户端连接到 Blob 存储时，系统可能会提示你信任某个主机密钥。 可通过在本文提供的列表中查找主机密钥来验证该密钥。

常见问题

什么是 SSH 主机密钥？

SSH 主机密钥是属于 SSH 和 SFTP 服务器的公钥/私钥对。 客户端在进行连接时使用它们来验证服务器的标识。 私钥存储在服务器端，而公钥在连接操作期间提供给客户端。 大多数客户端都会向用户提供一个选项来验证密钥并接受它，这将允许连接继续进行。

可在此处找到更多详细信息：SSH 主机密钥管理揭秘。

SSH 主机密钥是否不同于用于登录的 SSH 密钥？

是的。 SSH 主机密钥是属于服务器的单独私钥/公钥对。 用于登录的私钥/公钥对与之完全不同，由用户管理。 主机密钥轮换不会影响用户的 SSH 密钥。

客户端应对主机密钥执行哪些操作？

建议将新的主机密钥添加到客户端的受信任主机列表中。 请注意，此操作的步骤因使用的 SFTP 客户端而异。 下面是客户端存储受信任主机的最常见方式：

• known_hosts 文件
• Windows 注册表项（特定于 Windows 的客户端）
• 变量（基于库的客户端）

known_hosts 实例

此文件通常存储在以下本地路径下：~/.ssh/known_hosts。 此文件针对每台已知主机包含一行，每行可能采用类似于以下格式的格式：<server hostname> <algorithm> <host key>。

在首次连接后，其中可能已经有一个对应于你的存储帐户的条目。 可以在该条目下添加一个新条目，使其包含同一区域和算法的较新密钥。 添加后，它将类似于以下示例：

<account>.blob.core.chinacloudapi.cn ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBElXRuNJbnDPWZF84vNtTjt4I/842dWBPvPi2fkgOV//2e/Y9gh0koVVAYp6MotNodg4L9MS7IfV9nnFSKaJW3o=

<account>.blob.core.chinacloudapi.cn ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBLs9yqrEGdGvgdSWkAK5YkyazMWi30X+E6J/CiGpJwbuczVJwT/cwh+mxnE7DMTwhEo57jL7/wi/WT8CPfPpD4I=

第一个条目对应于服务当前使用的密钥，该密钥将很快过期。 第二个条目对应于将在轮换后使用的下一个密钥。 同时存在这两个条目可以在发生轮换时平稳过渡。

注册表项示例

对于基于 Windows 的客户端（例如 WinSCP），受信任的主机存储在一个注册表项中：HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\SshHostKeys。

当出现新的主机密钥时，WinSCP 将提示你接受该密钥。 你可以将 SHA256 指纹与下表中的相关密钥进行比较，如果匹配则接受。 然后，WinSCP 会将新密钥添加到缓存中供将来使用。

库客户端示例

对于基于库的客户端（例如 SSH.NET），主机密钥验证类似于以下代码片段：

string expectedFingerPrint = "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=";

using (var client = new SshClient("<account>.blob.core.chinacloudapi.cn", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrint.Equals(e.FingerPrintSHA256);
        };
    client.Connect();
}

为了考虑下一个主机密钥，可以进行以下更改：

List<string> expectedFingerPrints = new List<string>() { "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=", "5Vot7f2reXMzE6IR9GKiDCOz/bNf3lA0qYnBQzRgObo=" };

using (var client = new SshClient("<account>.blob.core.chinacloudapi.cn", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrints.Contains(e.FingerPrintSHA256);
        };
    client.Connect();
}

当旧的主机密钥过期时，客户端可以只接受新的主机密钥吗？

是的，但这无法实现无缝过渡。 首次出现新密钥时，客户端可能会返回以下类型的消息并断开连接：

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
Please contact your system administrator.
Add correct host key in C:\\Users\\<user>/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in C:\\Users\\<user>/.ssh/known_hosts:8
Host key for <account>.blob.core.chinacloudapi.cn has changed and you have requested strict checking.
Host key verification failed.
Connection closed

发生这种情况是因为客户端在 known_hosts 中只有旧密钥，这与服务器提供的密钥不同。 断开连接是一种安全措施。 为了再次连接，客户端需要从 known_hosts 中删除旧条目，然后重试连接。 这将为客户端提供一个机会来验证主机密钥并接受它：

The authenticity of host 'blob.cbn06prdstr01a.store.core.chinacloudapi.cn' can't be established.
ECDSA key fingerprint is SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
This host key is known by the following other names/addresses:
    C:\Users\<user>/.ssh/known_hosts:12: blob.cbn06prdstr01a.store.core.chinacloudapi.cn
Are you sure you want to continue connecting (yes/no/[fingerprint])?

验证将涉及将客户端输出中的指纹与下表中存储的指纹进行比较。 如果它们匹配，则键入 yes 以继续操作，然后客户端会自动将新密钥存储在 known_hosts 中供将来使用。

轮换需要花费多长时间？

轮换是渐进的，可能需要数周时间。 在此期间，Azure 服务可能会提供旧主机密钥或新主机密钥。

主机密钥为何会过期？

定期轮换机密是一种标准的安全做法，有助于减少攻击途径。

禁用严格的主机密钥验证是否可以？

否，不建议禁用严格的主机密钥验证。 根据此处发布的主机密钥验证连接过程中提供的主机密钥可以使客户端保护自己免受潜在的中间人 (MITM) 攻击。

有效的主机密钥

¹ SHA 256 指纹由 Open SSH 和 WinSCP 使用。

另请参阅

• 适用于 Azure Blob 存储的 SSH 文件传输协议 (SFTP) 支持
• 通过使用 SSH 文件传输协议 (SFTP) 来连接到 Azure Blob 存储
• Azure Blob 存储中 SSH 文件传输协议 (SFTP) 支持的限制和已知问题
• Azure Blob 存储中的 SSH 文件传输协议 (SFTP) 性能注意事项