Azure Blob 儲存體中 SSH 檔案傳輸通訊協定 (SFTP) 的主機金鑰支援

本文包含用來從 SFTP 用戶端連線到 Azure Blob 儲存體 的有效主機密鑰清單。

Blob 儲存體現在支援 SSH 檔案傳輸通訊協定 (SFTP)。 此支援可讓您透過 SFTP 端點安全地連線到 Blob 記憶體，讓您利用 SFTP 進行檔案存取、檔案傳輸，以及檔案管理。 如需詳細資訊，請參閱 Azure Blob 儲存體 的 SSH 檔案傳輸通訊協定 （SFTP） 支援。

當您使用 SFTP 用戶端連接至 Blob 儲存體時，系統可能會提示您信任主機金鑰。 您可以在本文中顯示的清單中尋找該金鑰，以確認主機密鑰。

常見問題集

什麼是 SSH 主機金鑰？

SSH 主機金鑰是屬於 SSH 和 SFTP 伺服器的公用/私鑰組。 用戶端會在連線時用來驗證伺服器的身分識別。 私鑰會儲存在伺服器端，而公鑰會在連線作業期間呈現給用戶端。 大部分的用戶端都會向用戶顯示一個選項，以驗證密鑰並接受密鑰，這可讓連線繼續。

如需詳細資訊，請參閱這裡： SSH 主機密鑰管理未解構。

SSH 主機金鑰是否與用於登入的 SSH 金鑰不同？

是。 SSH 主機金鑰是屬於伺服器的個別私人/公鑰組。 用於登入的私人/公鑰組完全分開並由使用者管理。 主機金鑰輪替不會影響使用者的 SSH 金鑰。

用戶端應該使用主機金鑰做什麼？

建議將新的主機金鑰新增至用戶端的信任主機清單。 請注意，此動作的步驟會根據所使用的SFTP用戶端而有所不同。 這些是客戶端儲存受信任主機的最常見方式：

• known_hosts 檔案
• Windows 登錄機碼 （Windows 特定用戶端）
• 變數 （連結庫型用戶端）

known_hosts 例

此檔案通常會儲存在下列本機路徑下： ~/.ssh/known_hosts。 檔案每個已知主機會有一行，而且每一行可能遵循如下的格式： <server hostname> <algorithm> <host key>。

第一次連線時，記憶體帳戶可能已經有一個專案。 您可以使用相同區域和演算法的較新索引鍵，將其新增至其下方。 新增之後，其看起來會類似 和 ecdsa-sha2-nistp256的這個範例Australia Central：

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBElXRuNJbnDPWZF84vNtTjt4I/842dWBPvPi2fkgOV//2e/Y9gh0koVVAYp6MotNodg4L9MS7IfV9nnFSKaJW3o=

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBLs9yqrEGdGvgdSWkAK5YkyazMWi30X+E6J/CiGpJwbuczVJwT/cwh+mxnE7DMTwhEo57jL7/wi/WT8CPfPpD4I=

第一個專案適用於服務目前使用的密鑰，這會更快到期。 第二個項目適用於將在輪替之後使用的下一個索引鍵。 當輪替發生時，讓這兩個專案都能順利轉換。

登錄機碼範例

對於 WinSCP 等 Windows 型用戶端，信任的主機會儲存在登錄機碼中：HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\SshHostKeys。

出現新的主機金鑰時，WinSCP 會提示您接受金鑰。 您可以將 SHA256 指紋與下表中的相關金鑰進行比較，並在符合時接受。 然後 WinSCP 會將新的金鑰新增至快取以供未來使用。

連結庫用戶端範例

對於連結庫型用戶端，例如 SSH.NET，主機密鑰驗證類似下列代碼段：

string expectedFingerPrint = "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=";

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrint.Equals(e.FingerPrintSHA256);
        };
    client.Connect();
}

為了考慮下一個主機密鑰，可以進行下列變更：

List<string> expectedFingerPrints = new List<string>() { "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=", "5Vot7f2reXMzE6IR9GKiDCOz/bNf3lA0qYnBQzRgObo=" };

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrints.Contains(e.FingerPrintSHA256);
        };
    client.Connect();
}

當舊的主機金鑰到期時，用戶端是否可以只接受新的主機密鑰？

是的，但這不會是無縫轉換。 第一次顯示新金鑰時，用戶端可能會傳回這種類型的訊息並中斷連線：

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
Please contact your system administrator.
Add correct host key in C:\\Users\\<user>/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in C:\\Users\\<user>/.ssh/known_hosts:8
Host key for <account>.blob.core.windows.net has changed and you have requested strict checking.
Host key verification failed.
Connection closed

這是因為用戶端在 中 known_hosts只有舊的密鑰，這與伺服器所提供的金鑰不同。 中斷聯機會以安全措施的形式發生。 若要再次連線，客戶端必須從 中刪除舊的項目 known_hosts ，然後再試一次連線。 這可讓客戶端有機會驗證主機金鑰並接受它：

The authenticity of host 'blob.cbn06prdstr01a.store.core.windows.net' can't be established.
ECDSA key fingerprint is SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
This host key is known by the following other names/addresses:
    C:\Users\<user>/.ssh/known_hosts:12: blob.cbn06prdstr01a.store.core.windows.net
Are you sure you want to continue connecting (yes/no/[fingerprint])?

驗證會牽涉到將客戶端輸出的指紋與下表中儲存的指紋進行比較。 如果相符，請輸入 yes 繼續，然後客戶端接著會自動將新的金鑰儲存在 known_hosts 中供未來使用。

旋轉需要多久時間？

輪替是漸進式的，可能需要數周的時間。 在這段期間，Azure 服務可能會呈現舊的或新的主機密鑰。

主機金鑰為何過期？

定期輪替秘密是標準的安全性做法，可協助減少攻擊媒介。

是否可停用嚴格的主機密鑰驗證？

否，不建議停用嚴格的主機密鑰驗證。 確認在連線期間針對這裡發佈的主機密鑰所呈現的主機密鑰，可讓客戶端保護自己免受潛在的中間人攻擊。

有效的主機金鑰

¹ Open SSH 和 WinSCP 會使用 SHA 256 指紋。

另請參閱

• Azure Blob 儲存體中 SSH 檔案傳輸通訊協定 (SFTP) 的支援
• 使用 SSH 檔案傳輸通訊協定 (SFTP) 連線至 Azure Blob 儲存體
• Azure Blob 儲存體中 SSH 檔案傳輸通訊協定 (SFTP) 支援的限制和已知問題
• 在 Azure Blob 儲存體中 SSH 檔案傳輸通訊協定 (SFTP) 的效能考量