Hosttasten zur Unterstützung von SSH File Transfer Protocol (SFTP) für Azure Blob Storage

Dieser Artikel enthält eine Liste gültiger Hostschlüssel, die für die Verbindung zu Azure Blob Storage von SFTP-Clients aus verwendet werden.

Der Blob-Speicher unterstützt jetzt das SSH File Transfer Protocol (SFTP). Diese Unterstützung bietet die Möglichkeit, über einen SFTP-Endpunkt eine sichere Verbindung zu Blob Storage herzustellen, sodass Sie SFTP für den Dateizugriff, die Dateiübertragung und die Dateiverwaltung nutzen können. Weitere Informationen finden Sie unter SSH File Transfer Protokollunterstützung (SFTP) für Azure Blob Storage.

Wenn Sie mit einem SFTP-Client eine Verbindung zu Blob Storage herstellen, werden Sie möglicherweise aufgefordert, einem Hostschlüssel zu vertrauen. Sie können den Hostschlüssel überprüfen, indem Sie ihn in der in diesem Artikel bereitgestellten Liste suchen.

Häufig gestellte Fragen

Was sind SSH-Hostschlüssel?

SSH-Hostschlüssel sind öffentliche/private Schlüsselpaare, die zu SSH- und SFTP-Servern gehören. Sie werden von Clients verwendet, um die Identität des Servers beim Herstellen einer Verbindung zu überprüfen. Der private Schlüssel wird serverseitig gespeichert, während der öffentliche Schlüssel während des Verbindungsvorgangs dem Client angezeigt wird. Die meisten Clients zeigen dem Benutzer eine Option zum Überprüfen des Schlüssels und akzeptieren ihn, wodurch die Verbindung fortgesetzt werden kann.

Weitere Details finden Sie hier: SSH Host Key Management Demystified.

Unterscheiden sich SSH-Hostschlüssel von den SSH-Schlüsseln, die für die Anmeldung verwendet werden?

Ja. SSH-Hostschlüssel sind separate private/öffentliche Schlüsselpaare, die zum Server gehören. Das für die Anmeldung verwendete Schlüsselpaar für private/öffentliche Schlüssel ist vollständig getrennt und vom Benutzer verwaltet. Die Drehung von Hostschlüsseln hat keine Auswirkungen auf die SSH-Schlüssel des Benutzers.

Was sollten Clients mit den Hostschlüsseln tun?

Es wird empfohlen, den neuen Hostschlüssel zur Liste der vertrauenswürdigen Hosts des Clients hinzuzufügen. Beachten Sie, dass sich die Schritte für diese Aktion je nach dem verwendeten SFTP-Client unterscheiden. Dies sind die am häufigsten verwendeten Methoden, wie Clients vertrauenswürdige Hosts speichern:

• known_hosts-Datei
• Windows-Registrierungsschlüssel (Windows-spezifische Clients)
• Variable (bibliotheksbasierte Clients)

known_hosts-Beispiel

Diese Datei wird häufig unter dem folgenden lokalen Pfad gespeichert: ~/.ssh/known_hosts. Die Datei enthält eine Zeile pro bekanntem Host, und jede Zeile kann einem ähnlichen Format folgen: <server hostname> <algorithm> <host key>.

Es ist wahrscheinlich bereits ein Eintrag für Ihr Speicherkonto vorhanden, wenn Sie zum ersten Mal eine Verbindung hergestellt haben. Darunter kann ein neuer Eintrag mit dem neueren Schlüssel für denselben Bereich und Algorithmus hinzugefügt werden. Nach dem Hinzufügen würde es ähnlich wie in diesem Beispiel aussehen, für das Australia Central und ecdsa-sha2-nistp256:

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBElXRuNJbnDPWZF84vNtTjt4I/842dWBPvPi2fkgOV//2e/Y9gh0koVVAYp6MotNodg4L9MS7IfV9nnFSKaJW3o=

<account>.blob.core.windows.net ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBLs9yqrEGdGvgdSWkAK5YkyazMWi30X+E6J/CiGpJwbuczVJwT/cwh+mxnE7DMTwhEo57jL7/wi/WT8CPfPpD4I=

Der erste Eintrag gilt für den Schlüssel, der derzeit vom Dienst verwendet wird, was früher abläuft. Der zweite Eintrag gilt für den nächsten Schlüssel, der nach der Drehung verwendet wird. Beide Einträge ermöglichen einen reibungslosen Übergang, wenn die Drehung erfolgt.

Beispiel für Registrierungsschlüssel

Für einen Windows-basierten Client wie WinSCP werden vertrauenswürdige Hosts in einem Registrierungsschlüssel gespeichert: HKEY_CURRENT_USER\Software\Martin Prikryl\WinSCP 2\SshHostKeys.

Wenn ein neuer Hostschlüssel angezeigt wird, fordert WinSCP Sie auf, den Schlüssel zu akzeptieren. Sie können den SHA256-Fingerabdruck mit dem relevanten Schlüssel in der nachstehenden Tabelle vergleichen und akzeptieren, wenn er übereinstimmt. WinSCP fügt dann den neuen Schlüssel für die Zukunft zum Cache hinzu.

Beispiel für bibliotheksclient

Bei einem bibliotheksbasierten Client wie SSH.NET ähnelt die Überprüfung des Hostschlüssels dem folgenden Codeausschnitt:

string expectedFingerPrint = "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=";

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrint.Equals(e.FingerPrintSHA256);
        };
    client.Connect();
}

Um den nächsten Hostschlüssel zu berücksichtigen, kann die folgende Änderung vorgenommen werden:

List<string> expectedFingerPrints = new List<string>() { "m2HCt3ESvMLlVBMwuo9jsQd9hJzPc/fe0WOJcoqO3RA=", "5Vot7f2reXMzE6IR9GKiDCOz/bNf3lA0qYnBQzRgObo=" };

using (var client = new SshClient("<account>.blob.core.windows.net", "<account>.<user>", "<pwd>"))
{
    client.HostKeyReceived += (sender, e) =>
        {
            e.CanTrust = expectedFingerPrints.Contains(e.FingerPrintSHA256);
        };
    client.Connect();
}

Können Clients nur den neuen Hostschlüssel akzeptieren, wenn das alte abläuft?

Ja, aber dies wird kein nahtloser Übergang sein. Wenn der neue Schlüssel zum ersten Mal angezeigt wird, gibt der Client möglicherweise diesen Typ einer Nachricht zurück und trennt folgendes:

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ECDSA key sent by the remote host is
SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
Please contact your system administrator.
Add correct host key in C:\\Users\\<user>/.ssh/known_hosts to get rid of this message.
Offending ECDSA key in C:\\Users\\<user>/.ssh/known_hosts:8
Host key for <account>.blob.core.windows.net has changed and you have requested strict checking.
Host key verification failed.
Connection closed

Dies geschieht, da der Client nur über den alten Schlüssel known_hostsverfügt, der sich von dem vom Server präsentierten Schlüssel unterscheidet. Die Trennung erfolgt als Sicherheitsmaßnahme. Um erneut eine Verbindung herzustellen, muss der Client den alten Eintrag löschen known_hosts und dann erneut versuchen, eine Verbindung herzustellen. Dadurch erhält der Client die Möglichkeit, den Hostschlüssel zu überprüfen und zu akzeptieren:

The authenticity of host 'blob.cbn06prdstr01a.store.core.windows.net' can't be established.
ECDSA key fingerprint is SHA256:Q3zIFfOI1UfCrMq6Eh7nP1/VIvgPn3QluTBkyZ2lfCw.
This host key is known by the following other names/addresses:
    C:\Users\<user>/.ssh/known_hosts:12: blob.cbn06prdstr01a.store.core.windows.net
Are you sure you want to continue connecting (yes/no/[fingerprint])?

Die Überprüfung würde einen Vergleich des Fingerabdrucks von der Clientausgabe mit dem in der folgenden Tabelle gespeicherten umfassen. Wenn sie übereinstimmen, geben yes Sie den Vorgang ein, und der Client speichert den neuen Schlüssel automatisch in der known_hosts Zukunft.

Wie sieht der Zeitplan für die Schlüsselrotation aus?

Wenn ein Host-Schlüssel abläuft, beginnt Azure Storage mit dem Prozess, Host-Schlüssel über alle Speicherkonten hinweg zu rotieren. Verschiedene Speicherkonten erleben die Schlüsselrotation zu unterschiedlichen Zeitpunkten. Alle Speicherkonten sollten innerhalb weniger Monate ihre Host-Schlüssel rotieren.

Wie lange dauert die Drehung?

Die Rotationen sind schrittweise und können mehrere Wochen dauern. Sobald die Host-Schlüssel-Rotation für ein Speicherkonto begonnen hat, kann während dieser Zeit entweder der alte oder der neue Host-Schlüssel vom Azure-Service präsentiert werden. Während der Rotation konnten die Clients den alten Host-Schlüssel selbst nach dem ersten Sehen des neuen Keys sehen.

Ist es ein hartes Ablaufdatum?

No. Das Ablaufdatum markiert das Datum, an dem Azure Storage beginnt, die Hostschlüssel zu rotieren. Wenn Sie Ihre Clients vor diesem Datum nicht aktualisieren, ist es möglich, dass Sie sofort den neuen Host-Schlüssel sehen, aber es ist auch möglich, dass Sie den vorherigen Host-Schlüssel weiterhin sehen, bis alle Host-Schlüssel rotiert wurden.

Warum laufen die Hostschlüssel ab?

Das regelmäßige Drehen von geheimen Schlüsseln ist eine standardmäßige Sicherheitspraxis und kann dazu beitragen, Angriffsvektoren zu reduzieren.

Ist es in Ordnung, die strenge Überprüfung des Hostschlüssels zu deaktivieren?

Nein, es wird nicht empfohlen, die strenge Überprüfung des Hostschlüssels zu deaktivieren. Wenn Sie den Hostschlüssel überprüfen, der während der Verbindung mit den hier veröffentlichten Hostschlüsseln angezeigt wird, können Clients sich vor einem potenziellen Man-In-The-Middle-Angriff (MITM) schützen.

Gültige Hostschlüssel

¹ Der Fingerabdruck SHA 256 wird von Open SSH und WinSCP verwendet.

Weitere Informationen

• Unterstützung von SSH File Transfer Protocol (SFTP) für Azure Blob Storage
• Herstellen einer Verbindung mit Azure Blob Storage mithilfe des SSH-Dateiübertragungsprotokolls (SFTP)
• Einschränkungen und bekannte Probleme hinsichtlich der Unterstützung von SFTP (SSH File Transfer Protocol) in Azure Blob Storage
• Überlegungen zur Leistung von SSH SFTP (SSH File Transfer Protocol) in Azure Blob Storage