Ruota le chiavi dell'host del server

Periodicamente, è possibile ruotare la chiave dell'host del server.

In che modo il client sceglie la chiave dell'host del server

Il modo in cui Transfer Family sceglie la chiave del server da applicare dipende dalle condizioni del client SFTP, come spiegato qui. Il presupposto è che ci sia una chiave più vecchia e una chiave più recente.

• Un client SFTP non dispone di una chiave host pubblica precedente per il server. La prima volta che il client si connette al server, si verifica una delle seguenti situazioni:

  • Il client interrompe la connessione, se è configurato per farlo.

  • In alternativa, il client sceglie la prima chiave che corrisponde ai possibili algoritmi disponibili e chiede all'utente se quella chiave è attendibile. In tal caso, il client aggiorna automaticamente il known_hosts file (o qualsiasi file o risorsa di configurazione locale che il client utilizza per registrare le decisioni di fiducia) e inserisce quella chiave.

• Un client SFTP ha una vecchia chiave nel suo known_hosts file. Il client preferisce utilizzare questa chiave, anche se esiste una chiave più recente, per l'algoritmo di questa chiave o per un altro algoritmo. Questo perché il client ha un livello di fiducia più elevato per la chiave contenuta nel suo known_hosts file.

• Un client SFTP ha la nuova chiave (in uno qualsiasi degli algoritmi disponibili) nel suo file di known_hosts chiavi. Il client ignora le chiavi più vecchie perché non sono affidabili e utilizza la nuova chiave.

• Un client SFTP ha entrambe le chiavi nel suo known_hosts file. Il client sceglie la prima chiave per indice che corrisponde all'elenco delle chiavi disponibili offerto dal server.

Transfer Family preferisce che il client SFTP abbia tutte le chiavi nel suo known_hosts file, poiché ciò consente la massima flessibilità durante la connessione a un server Transfer Family. La rotazione delle chiavi si basa sul fatto che possono esistere più voci nel known_hosts file per lo stesso server Transfer Family.

Ruota la procedura della chiave host del server

Ad esempio, supponiamo di aver aggiunto il seguente set di chiavi host del server al server Transfer Family.

Chiavi dell'host del server
Tipo di chiave host	Data aggiunta al server
RSA	1 Aprile 2020
ECDSA	1 febbraio 2020
ED25519	1 dicembre 2019
RSA	1 ottobre 2019
ECDSA	1 giugno 2019
ED25519	1 marzo 2019

Per ruotare la chiave dell'host del server

1. Aggiungere una nuova chiave dell'host del server. Questa procedura è descritta inAggiungere una chiave host del server aggiuntiva.

2. Eliminare una o più chiavi host dello stesso tipo aggiunte in precedenza. Questa procedura è descritta inEliminare una chiave host del server.

3. Tutti i tasti sono visibili e possono essere attivi, in base al comportamento descritto in precedenza inIn che modo il client sceglie la chiave dell'host del server.