Mantenimiento de hosts conocidos en Secure Shell

Cada host que necesita comunicarse de manera segura con otro host debe tener la clave pública del servidor almacenada en el archivo /etc/ssh/ssh_known_hosts del host local. Aunque una secuencia de comandos podría utilizarse para actualizar los archivos /etc/ssh/ssh_known_hosts, esta práctica es fuertemente desalentada, porque una secuencia de comandos abre una importante vulnerabilidad de seguridad.

El archivo /etc/ssh/ssh_known_hosts sólo debería ser distribuido por un mecanismo seguro, de la siguiente manera:

• Por medio de una conexión segura, como Secure Shell, IPsec o ftp Kerberizado de un equipo conocido y de confianza

• En el tiempo de instalación del sistema

Para evitar la posibilidad de que un intruso obtenga acceso insertando claves públicas falsas en un archivo known_hosts, debe utilizar un servidor JumpStart como el origen conocido y de confianza del archivo ssh_known_hosts. El archivo ssh_known_hosts se puede distribuir durante la instalación. Más tarde, las secuencias de comandos que utiliza el comando scp se pueden utilizar para obtener la última versión. Este enfoque es seguro, porque cada host ya tiene la clave pública del servidor JumpStart.