Avviso SSH: chiave host cambiata

Quando ti colleghi al tuo server via SSH compare all’improvviso l’avviso REMOTE HOST IDENTIFICATION HAS CHANGED e la connessione viene rifiutata? Sembra preoccupante, ma di solito il motivo è innocuo.

Cosa significa l’avviso?

Alla prima connessione il tuo programma SSH memorizza l’impronta (l’identificativo della chiave) del server nel file known_hosts. Se in seguito l’impronta è diversa, SSH ti avvisa volutamente in modo molto evidente, così non ti colleghi a tua insaputa a un server sbagliato.

Da dove viene il cambiamento?

Spesso non dipende dal server, ma dal tuo computer: dopo un aggiornamento del programma SSH o una modifica delle impostazioni di sicurezza, viene usato un altro tipo di chiave (ad esempio ED25519 invece della chiave ECDSA memorizzata finora), anche se sul server non è cambiato nulla. Lo vedi nel messaggio dalle righe «The fingerprint for the ED25519 key» e «Offending ECDSA key».

Più raramente le chiavi sono state rigenerate sul server stesso, ad esempio con un aggiornamento di OpenSSH nel tuo sistema o una reinstallazione.

Come verificarlo in modo sicuro

• Visualizzi la voce memorizzata con: ssh-keygen -l -F server.musterdomain.ch (con una porta diversa da 22: ssh-keygen -l -F '[server.musterdomain.ch]:2222').
• Se non sei sicuro, apri un ticket. Ti comunichiamo le impronte che il tuo server presenta attualmente.
• Se tutto corrisponde, rimuovi la vecchia voce con ssh-keygen -R server.musterdomain.ch (o ssh-keygen -R '[server.musterdomain.ch]:2222') e conferma la nuova chiave alla connessione successiva.

Non rimuovere la voce senza verifica se non sai spiegarti il motivo del cambiamento.