KnownhostsDatei

Die KnownhostsDatei, oft known_hosts genannt, ist eine Datei in SSH-Clients wie OpenSSH, in der die öffentlichen Schlüssel der Remote-Hosts gespeichert werden, mit denen der Benutzer bereits verbunden hat. Sie dient der Identitätsprüfung, damit der Client den Remote-Host künftig zuverlässig identifizieren kann und Man-in-the-Middle-Angriffe verhindert werden.

Ort und Aufbau: Die benutzerspezifische Datei liegt in ~/.ssh/known_hosts; systemweite Einträge befinden sich in /etc/ssh/ssh_known_hosts. Jede Zeile enthält Hostbezeichnungen, gefolgt von dem Schlüsseltyp und dem öffentlichen Schlüssel. Hostbezeichnungen können Namen, IP-Adressen oder gehashte Werte sein; mehrere Hosts oder Hostnamenlisten werden durch Kommata getrennt. Ein Host kann mehrere Zeilen haben, falls er mehrere Schlüsseltypen besitzt.

Verwendung: Beim ersten Verbindungsaufbau wird der Hostschlüssel in die KnownhostsDatei aufgenommen. Wenn der gleiche Host später mit einem anderen Schlüssel antwortet oder der Schlüssel aus anderen Gründen kompromittiert wurde, warnt der SSH-Client vor einer möglichen Manipulation und verweigert die Verbindung, bis der neue Schlüssel bestätigt wird.

Verwaltung: Einträge können manuell bearbeitet oder mit Tools verwaltet werden. Beispiele: ssh-keygen -R host entfernt alle Einträge für host; ssh-keygen -F host sucht nach Einträgen. Neuer Schlüssel kann mittels ssh-keyscan erfasst werden: ssh-keyscan -t rsa host >> ~/.ssh/known_hosts. Systeme bieten oft zusätzliche Befehle, um gezielt zu aktualisieren.

Sicherheit und Privatsphäre: HashKnownHosts yes in der SSH-Konfiguration kann Hostnamen in der Datei hashen, um Privatsphäre zu schützen. Gespeicherte Schlüssel müssen geschützt bleiben, da sie MITM-Angriffe ermöglichen können. Regelmäßige Bereinigung veralteter Einträge ist sinnvoll, insbesondere in Umgebungen mit vielen Servern.