一个无线网络上的 SSH 主机标识更改

Question

我定期通过 SSH 连接到远程服务器，从 Ubuntu 系统，在默认端口 22 上。让我们调用服务器example.org。我确信此服务器配置正确，并且我已确认以下问题与我的操作系统无关，并且在重新安装后仍然存在。

有一个特定的 Wifi 接入点，如果我连接到服务器 ( ssh example.org)，我会得到以下信息：

@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ED25519 key sent by the remote host is
SHA256:[REDACTED].
Please contact your system administrator.
Add correct host key in /home/user/.ssh/known_hosts to get rid of this message.
Offending ED25519 key in /home/user/.ssh/known_hosts:3
  remove with:
  ssh-keygen -f "/home/user/.ssh/known_hosts" -R "serv.org"
ED25519 host key for serv.org has changed and you have requested strict checking.
Host key verification failed.

有问题的接入点属于学术机构，似乎比商业 ISP 网络更受锁定（例如，我无法在其上下载种子）。如果我返回到另一个网络（例如，使用我的手机作为接入点），我可以再次连接。

根据 Wireshark 的说法：

• 即使在有问题的接入点上，DNS 查询 (to 8.8.8.8)example.org也会返回相同的 IP 地址。
• SSH 密钥交换似乎像往常一样发生，但是当我通过有问题的 AP 连接时，服务器在“ECDH 密钥交换回复”中发送的密钥确实具有不同的指纹。

我不明白这个网络在做什么。阻止端口 22 是一回事，但在这里我似乎到达服务器并得到错误的密钥作为响应。

这个接入点会不会有意篡改 SSH 连接？尽管如此，有没有办法让我安全地使用 SSH？我应该避免使用它吗？

Answer 1

要么这个系统主机密钥正在改变，要么某人/某物正在对 SSH 连接进行 MITM。

除非/直到您有解释，否则适当的行动方案是将该主机视为受到威胁（尽管它可能不是主机本身，而是连接）。

您可能想要联系该 AP 的系统管理员，并告知他们您的疑虑，并尝试与他们一起进行追踪。

Answer 2

由于它是一个学术机构，我认为它可能是一个防火墙/安全网关，可以拦截和分析 SSH 流量，以进行数据丢失防护 (DLP) 或一般审计日志记录之类的事情。

例如这样的防火墙：https : //docs.paloaltonetworks.com/pan-os/9-0/pan-os-admin/decryption/decryption-concepts/ssh-proxy.html