Rechnername

Der Name des neuen ssh-Servers lautet:

Die Daten des /home-Bereichs vom alten ssh-Server wurden am 7.9.2022 auf diesen Server migriert. Bitte spätere Änderungen selber nachpflegen.

Hostkey & Fingerprint

Da dem Server das User- Passwort anvertraut wird, ist es wichtig, die Authentizität der ssh-Verbindungen zu überprüfen. Dazu werden sog. Hostkeys verwendet, die, einmal überprüft, auf dem ssh Client gespeichert werden. Ein Angreifer wird einen sog. Man-in-the-middle Angriff versuchen, die Verbindung also über seinen Server umzuleiten. Dies erkennt man daran, dass ein anderer Hostkey angezeigt wird oder sich der Hostkey scheinbar geändert hat, da der Angreifer den Key des TU-Servers nicht kennt.

Traditionell werden Hostkeys mit dem RSA Verschlüsselungsverfahren verwendet. Mit den Fortschritten in der Quantenkryptografie und dem steigenden Rechenbedarf bei größeren Schlüssellängen wird allerdings nach Alternativen gesucht.

Ein anderes Verfahren beruht auf ED25519, einem Verfahren, das von der Daniel J. Bernstein 2005 veröffentlicht wurde und sich zunehmender Beliebtheit erfreut.

Unser Server unterstützt beide Verfahren und hat daher 2 verschiedene Hostkeys. Je nachdem welchen ssh-client sie verwenden und wie Sie ihn konfiguriert haben, wird er das eine oder andere Verfahren verwenden. OpenSSH wie es in Windows 10 und den meisten Linux-Distributionen mitgeliefert wird, verwendet standardmäßig bereits bevorzugt ED25519.

Wenn Sie keine Übereinstimmung finden speichern Sie den Key auf keinen Fall, geben Sie nicht Ihr Passwort ein und beenden Sie die Verbindung. Suchen Sie statt dessen nach der Ursache für den falschen Hostkey. Gleiche gilt, falls sich der Hostkey plötzlich geändert hat.

Je nach verwendetem Programm wird der Fingerabruck anders berechnet und/oder angezeigt, hier in den üblichen Darstellungs-Varianten für unseren ED25519 und RSA Key:

Nur wenn der Fingerprint übereinstimmt, können Sie sicher sein, dass Sie Ihr Passwort dem richtigen Server übergeben. Das gilt entsprechend auch, wenn Sie bei einer späteren Verbindung eine Warnung erhalten, dass sich der öffentliche Schlüssel (public key) des Servers geändert hat.
Andernfalls reicht es schon, wenn Sie sich im Domainnamen vertippen, um sich mit einem falschen Server zu verbinden. Die Tippfehler-Domains *.tuhhh.de oder *.tu-hh.de sind dafür ein Beispiel.

Der Server kann genutzt werden, um sich auf Rechnern einzuloggen, die nur von innerhalb der TU erreichbar sind. Dazu verwenden Sie bitte die Funktion ProxyJump Ihres ssh-Client.

Beispiel:

> ssh -J ssh.rz.tuhh.de l05p33.rz.tu-harburg.de

Mit diesem Befehl loggt man sich von seinem eigenen Rechner über den ssh-Server auf einem Pool-Rechner ein.

Der ssh-Server ist aus dem Internet erreichbar und dadurch einem wahren Sturm von Passwort-Rateversuchen ausgesetzt. Um diese möglichst zu erschweren und auszubremsen werden verschiedene Methoden eingesetzt. Das kann dazu führen, dass auch legitime Nutzer keine Verbindung erhalten, wenn sie innerhalb eines Zeitfensters zu oft neue Verbindungen aufbauen.

Versuchen sie, möglichst nur eine Verbindung aufzubauen und mittels der Funktion "sharing of multiple sessions over a single network connection" alle weiteren Verbindungen über diese abzuwickeln. Näheres entnehmen Sie bitte den Hinweisen zur config- Datei.