SSH公钥指纹验证本质是通过数学哈希唯一性确认服务器身份，防止中间人攻击；需从服务器端获取真实指纹并严格比对，禁用跳过校验等不安全操作。
验证服务器 SSH 公钥指纹，本质是确认你连接的确实是目标服务器，而不是被中间人劫持的假节点。它不依赖密码或网络信任，而是靠数学哈希的唯一性和不可伪造性。关键不是“跳过警告”，而是把警告变成可验证的动作。
从服务器端获取真实指纹
管理员应在可信渠道（如控制台、内网文档、加密邮件）提前公布服务器指纹。获取方式如下：
- 登录服务器后，运行命令一次性提取所有主机密钥的 SHA256 指纹：
for f in /etc/ssh/ssh_host_*_key.pub; do [ -f "$f" ] && ssh-keygen -E sha256 -lf "$f" | awk '{printf "%-10s %s\n", $4, $2}'; done - 输出示例：ED25519 SHA256:Abc123xyz、RSA SHA256:Def456uvw
- 建议重定向保存为带时间戳的文件：> fingerprints-$(hostname)-$(date +%F).txt，便于归档和后续比对
客户端首次连接时核对指纹
当你第一次执行 ssh user@host，终端会显示类似这样的提示：
- The authenticity of host '192.168.1.100' can't be established.
- ED25519 key fingerprint is SHA256:jXTHHEc4JqmxJ6mObXJ3V/L3LZ5D+JQ7pYJ7pYJ7pYJ7.
此时必须停下操作，将这行 SHA256 指纹与服务器管理员提供的指纹逐字符比对。注意：
- SHA256 指纹是 Base64 编码，长度固定，区分大小写
- 不要只看开头或结尾几个字符，要全段一致
- 若不匹配，立即输入 no 中断连接，联系管理员核实是否密钥轮换或存在攻击
批量环境下的自动化验证
管理几十上百台服务器时，人工比对不可行。可用脚本实现闭环：
- 用 ssh-keyscan -t ed25519 host 提前抓取新指纹（轮换前）
- 通过 Ansible 的 known_hosts 模块批量更新客户端
~/.ssh/known_hosts，指定 state: present 和准确的 key 内容 - Ansible playbook 中加入验证任务：command: ssh-keygen -E sha256 -lf /etc/ssh/ssh_host_ed25519_key.pub，确保分发后密钥生效且指纹可读
常见误区与安全红线
这些做法看似省事，实则彻底放弃安全防线：
- 在公共 WiFi 下直接输 yes 接受未知指纹
- 用 -o StrictHostKeyChecking=no 绕过校验（等于关闭身份验证）
- 通过微信、短信、普通邮箱传输指纹（未加密渠道易被篡改）
- 发现指纹变化后不调查，直接删除
known_hosts相关行重连
哪怕在内网，也应坚持指纹验证——内部横向移动和误配置同样会导致密钥变更或伪装风险。
