使用session.setConfig建立JSch SFTP安全性("StrictHostKeyChecking","no");

Question

我使用带有私钥的JSch到FTP文件

1. jsch.addIdentity(privatekeyfile);
2. Session session = jsch.getSession("user","domain.com",22);
3. session.setConfig("StrictHostKeyChecking","no");

第3行有问题.如果没有这一行,JSch就无法运行.

我的问题是:第3行是否会使SFTP转移不安全？

Answer 1

禁用该StrictHostKeyChecking选项会使连接不如启用该选项更安全,因为它可以让您连接到远程服务器而无需验证其SSH主机密钥.如果启用该选项,则只能连接到SSH客户端已知密钥的服务器.

您必须确定这对您的特定用例意味着什么 - 您是在私人本地网络上连接的服务器,还是通过互联网连接？这是测试或生产环境吗？

如果有疑问,最好在更安全的方面犯错误.我建议启用StricktHostKeyChecking并使用该setKnownHosts方法提供包含远程主机密钥的文件.

Answer 2

是的，它会降低连接（和传输）的安全性。特别是，它使连接容易受到中间人攻击。

您永远不应该将 设为StrictHostKeyChecking，no除非您不关心安全性（例如在专用网络内连接时）。

“没有这条线，JSch 就无法工作”是不正确的。您只需让您的代码接受预期服务器的主机密钥即可。通过setKnownHosts或setHostKeyRepository方法。

有关示例，请参阅如何在使用 JSch SFTP 库时解析 Java UnknownHostKey？

您可以阅读我关于验证主机密钥的文章以了解其重要性。这是关于 WinSCP SSH/SFTP 客户端的，但它通常适用于任何 SSH 客户端/库。