Самый недооцененный механизм безопасности SSH или почему known_hosts — это не кэш

[vdudouyt]

Через несколько месяцев или даже лет по тому же адресу может прилететь уже совсем другое сообщение.
WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!

Мне прилетало. Не из-за переустановленной на серваке ОС (это, само собой, тысячу раз видел), а прям реальная "боевая" тревога из-за MITM-бэкдора на провайдерском роутере.

[olegbarabanov]

А еще known_hosts является отличным источником информации при компрометации девелоперских систем. И проблема может еще усугубиться если используется соединение только по ключу без использования парольных фраз (passphrase) и других способов защиты.

[casablanque]

Факт. Столько неочевидных вещей, которыми мы все привыкли пренебрегать, что можно отдельную статью написать чем это чревато.

[astenix]

passphrase можно ставить однобуквенные же?!

[casablanque]

Да) Но лучше что-то подлиннее и включить агента, чтобы не запариваться с вводом каждый раз.