@mrro: vấn đề là ở đây: làm thế nào để kiểm tra fingerprint, khi mà ta còn không biết cái fingerprint thực nó trông như thế nào. Nếu cái SSH server không phải của mình, và mình cũng không liên lạc được với những người biết fingerprint của server đó (qua out-of-bound channels như telephone hay SMS), thì phải làm sao? Đấy là còn chưa kể đến việc dùng out-of-bound channels tạo ra cost mà không phải SSH user nào cũng muốn. 

@conmale: khi anh cài lại máy, và putty đến SSH server B qua proxy, anh sẽ nhận được một cái warning về unknown host key. Vậy lúc này anh xử lý ra sao? Đây mới là vấn đề về authentication (làm sao ta biết được người đang kết nối với mình chính xác là người mình muốn kết nối?)

SSH được sử dụng rộng rãi bấy lâu nay phần ít là do nó có secure channel, nhưng phần nhiều là do nó không đòi hỏi các security infrastructure như PKI, Web of Trust, hoặc database of credentials dùng trong server authentication. Phương thức mà nó sử dụng được gọi là Leap-of-Faith (LoF) authentication.

Ý tưởng của LoF thì đúng như tên gọi của nó: khi anh kết nối tới một server B lần đâu tiên (first communication), anh không có một thông tin gì để xác minh sự thật thà của server đó, thì thay vì cố gắng tìm cách authenticate server này, anh nhảy (jump, leap) qua tin tưởng (faith) server B đó ngay lập tức. Thông qua cú nhảy này, anh thiết lập một số thông tin để sau này khi anh gặp lại server B, anh có thể chắc chắn rằng nó chính là cái server anh đã kết nối trước kia. Cái thông tin đó trong trường hợp của SSH chính là public key của server B.

Tuy nhiên, vấn đề với LoF authentication là ở chỗ làm sao anh biết được là attacker có hay không xuất hiện trong first communication, lúc mà authentication thực sự bị bỏ qua. 

@StarGhost: security is not free :-p. nếu mà không muốn mất thời gian hay mất tiền để kiểm tra thì cứ nhắm mắt xài thôi. key fingerprint thì khi kết nối lần đầu, openssh server có đưa cho user thấy cái fingerprint mà.
 

@StarGhost: mình không hiểu mình đọc sót chỗ nào nhỉ? bạn mô tả cơ chế xác thực của SSH, cho rằng điểm yếu nhất là ở lần đầu, không có cách nào để xác thực. Thì mình mới nói, ở lần đầu đó, server có đưa ra cái key fingerprint mà, thế thì sao lại cho là không có cách nào để xác thực?

Việc user không kiểm tra key fingerprint vì kiểm tra cái đó tốn thời gian hoặc tốn tiền là chuyện hoàn toàn khác. Mình nói rồi đó, security is not free.

-m 

@conmale: với một security expert như anh thì đây có lẽ không phải là vấn đề. Nhưng nó lại là vấn đề với hầu hết network users, và thực ra cái risk của LoF authentication vẫn là một đề tài gây tranh cãi.