使用pysftp验证主机密钥

Question

使用PuTTY，终端程序将其保存到注册表[hkey_current_user\software\simontatham\PuTTY\sshhostkeys]。

如何协调pysftp和Putty之间的差异？

我的代码是：

import pysftp as sftp

def push_file_to_server():
    s = sftp.Connection(host='138.99.99.129', username='root', password='*********')
    local_path = "testme.txt"
    remote_path = "/home/testme.txt"

    s.put(local_path, remote_path)
    s.close()

push_file_to_server()

Answer 1

不要设置cnopts.hostkeys=none（如第二个得到支持的答案所示），除非您不关心安全性。这样做就会失去对中间人攻击的保护。

使用cnopts.hostkeys（返回hostkeys)管理受信任的主机密钥。

cnopts = pysftp.CnOpts(knownhosts='known_hosts')

with pysftp.Connection(host, username, password, cnopts=cnopts) as sftp:

其中known_hosts包含服务器公钥]，其格式如下：

example.com ssh-rsa AAAAB3NzaC1yc2EAAAADAQAB...

如果不想使用外部文件，还可以使用

from base64 import decodebytes
# ...

keydata = b"""AAAAB3NzaC1yc2EAAAADAQAB..."""
key = paramiko.RSAKey(data=decodebytes(keydata))
cnopts = pysftp.CnOpts()
cnopts.hostkeys.add('example.com', 'ssh-rsa', key)

with pysftp.Connection(host, username, password, cnopts=cnopts) as sftp:

尽管从pysftp 0.2.9开始，这种方法将发出一个警告，看起来像是一个bug:
在使用pysftp连接到SFTP服务器时“未能加载主机键”警告

使用OpenSSHssh-keyscan检索所需格式的主机密钥的一个简单方法是：

$ ssh-keyscan example.com
# example.com SSH-2.0-OpenSSH_5.3
example.com ssh-rsa AAAAB3NzaC1yc2EAAAADAQAB...

（由于pysftp中的一个bug，如果服务器使用非标准端口，这就不起作用了-条目以[example.com]:port+小心将ssh-keyscan重定向到PowerShell中的文件）

您还可以使应用程序自动执行相同的操作:
使用带有PysFTP的Paramiko AutoAddPolicy
（它会自动将新主机的主机密钥添加到known_hosts中，但对于已知的主机密钥，它不会接受更改的密钥）

虽然为了绝对安全，您不应该远程检索主机密钥，因为您无法确定，如果您没有受到攻击。

请参阅我的文章“我在哪里获取SSH主机密钥指纹以授权服务器？”
这是为我的WinSCP SFTP客户端提供的，但其中的大多数信息一般都是有效的。

如果只需要使用其指纹验证主机密钥，请参阅python-pysftp/paramiko-verify host key using its frington。