Host certificates OpenSSH: доверие CA должно иметь правильную область имён
Фотография конкретного исполнения не приложена.
Host certificate удостоверяет сервер перед SSH-клиентом. В known_hosts запись с @cert-authority обозначает доверенный ключ центра, а поле имён ограничивает соответствующую область. Поэтому доверие CA и доверие одному обычному host key — разные структуры, которые нельзя переносить между узлами без проверки назначения.
Сертификат содержит host principals, то есть имена представляемого сервера. Клиент также использует имя подключения, канонизацию и при наличии HostKeyAlias. Подключение по техническому адресу через обслуживающий маршрут требует согласовать эту идентичность, а не отключать проверку только потому, что привычное DNS-имя изменилось.
В проекте перечисляют допустимые имена и владельца выдачи сертификатов. Слишком широкая область CA меняет круг серверов, которым клиент способен доверять. Пользовательские сертификаты и их CA предназначены для другой стороны аутентификации; общая подпись «SSH-сертификат» не объясняет, какой субъект удостоверяется.
В приёмке используют разрешённое имя, имя вне области и согласованный alias. Сверяют проверку host certificate без изменения реальных ключей в этом разборе. Успешная криптографическая проверка подписи сама по себе не подтверждает, что сертификат относится к имени нужного узла и что область доверия выбрана корректно.
Основание — OpenSSH current OpenBSD manuals snapshot; portable release10.6 observed, not exact portable manual, разделы SSH_KNOWN_HOSTS format; @cert-authority; CERTIFICATES: host certificates; HostKeyAlias. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Удалённые узлы, ключи и файлы не проверялись; подключения, копирование и изменение прав не выполнялись. Версии и доступные параметры обеих сторон требуют подтверждения.
