Linux 取证135 条

主机密钥指纹与变更检测

主机密钥在安装时生成，指纹用于客户端校验；密钥文件时间异常或整套更换，可能意味着重装、中间人或密钥被替换。

文件	/etc/ssh/ssh_host_*_key.pub
命令	ssh-keygen -lf <公钥> -E sha256

核查

ls -l --time-style=long-iso /etc/ssh/ssh_host_*_key.pub
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub -E sha256

把指纹与资产台账比对，可直接发现与登记不符的变更。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌