Pourquoi la clé SSH de mon serveur serait-elle régénérée lors d'une mise à niveau par apt-get?
Je gère quelques serveurs chez DigitalOcean et ai mis à niveau de nombreuses fois des ordinateurs sans jamais avoir de problème.
Aujourd'hui, j'ai effectué la séquence de mise à niveau habituelle:
Sudo apt-get update
Sudo apt-get upgrade
Sudo apt-get dist-upgrade
La mise à niveau a bien fonctionné. Je n'ai rien remarqué de particulier. Les fichiers qui ont été installés sont:
Apache2 Apache2-bin Apache2-data Apache2-utils libfreetype6 librtmp1
Après la mise à niveau de mes 3 ordinateurs, j'ai redémarré avec:
Sudo init 6
Une fois redémarré, j’ai essayé de me connecter à SSH et j’ai reçu une erreur me disant que l’ordinateur avait peut-être été piraté:
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@ WARNING: REMOTE Host IDENTIFICATION HAS CHANGED! @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a Host key has just been changed.
The fingerprint for the ECDSA key sent by the remote Host is
SHA256:lkAyAr1g1aym6K3tNV0jEYSLejJcGmK/7tEBgApVbck.
Please contact your system administrator.
Add correct Host key in /home/alexis/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in /home/alexis/.ssh/known_hosts:100
remove with:
ssh-keygen -f "/home/alexis/.ssh/known_hosts" -R 45.55.5.185
ECDSA Host key for 45.55.5.185 has changed and you have requested strict checking.
Host key verification failed.
En regardant le dossier /etc/ssh, j'ai remarqué que toutes les clés avaient été mises à jour au moment de la mise à niveau de l'ordinateur ...
Pourquoi cela arriverait-il?
En fait, j'ai parlé à quelqu'un de DigitalOcean et ils m'ont expliqué que lorsqu'une mise à niveau est effectuée, le nœud peut être renvoyé d'un superviseur à un autre.
Pour que leurs nœuds fonctionnent, ils doivent avoir accès au nœud en cours d'exécution et utiliser ces clés. Chaque superviseur utilisera des clés différentes. Il suffit donc d’un saut pour forcer la régénération de nouvelles clés.
Le fait que la clé ait changé est donc bénin en ce qui nous concerne, bien que ce soit problématique lorsque vous avez des processus automatiques qui comptent sur ces clés pour ne jamais changer.