security - 与 Windows 2008 服务器的 SFTP 连接。如何防止信任首次使用（TOFU）请求？

Question

我们有一个通过 SSH 进行 SFTP 连接的 Windows 服务器。

它必须是超级安全的，但是当我们或其他用户连接时，他们在首次使用时会受到信任问题。

我们如何才能实现更多的信任？我们需要公钥/私钥认证吗？（现在只是密码和用户）。SSH 与证书没有任何关系，对吧？

提前致谢！

Answer 1

询问用户是否信任服务器的密钥。这个问题是由客户端软件提出的。为了防止出现问题，您需要以某种方式（在第一次连接之前）将服务器的公钥传递给客户端，并将其添加到由客户端使用的客户端软件维护的受信任密钥列表中。

SSL/TLS 还使用服务器使用公钥对自己进行身份验证的方案（通常，因为存在替代方案）。该密钥包含在 X.509 证书中。所有客户端都知道如何验证证书并信任（或不信任）密钥，因为 X.509 基础架构是分层的，并且客户端存在受信任的根证书和 CA 证书列表。

然而，在 SSH 中，情况有所不同 - SSH 密钥不构成基础架构，并且必须明确信任每个密钥。客户端将他的公钥提供给服务器（如果它想使用公钥认证，并且服务器也通过提供公钥来认证自己。除了显式比较它与管理员手动形成的信任列表中的密钥（或从另一台计算机复制）。