Clone git non interactif (invite ssh fingerprint)

Je ne pense pas que ce soit la meilleure solution, mais c'était une solution pour moi.

RÉPONSE :

Ajouter les noms de domaine au known_hosts en utilisant l'option ssh-keyscan a résolu le problème :

ssh-keyscan <enter_domainname_e.g._github.com> >> ~/.ssh/known_hosts

Les options "StrictHostKeyChecking no" et "ssh-keyscan" ne sont pas sûres. besoin de une validation manuelle de l'empreinte digitale à un moment donné pour éviter une attaque MiTM si vous vous en tenez à ssh.

En fait, vous avez deux options :

Utiliser le protocole https au lieu de git

Il ne vous demandera pas d'empreinte digitale, car ssh n'est pas impliqué, https est utilisé à la place. Pour des raisons de sécurité, vous faites confiance aux certificats racine installés sur votre système d'exploitation. Si vous utilisez une image minimaliste ou Docker, vous devrez peut-être installer le paquet ca-certificates.

Si vous voulez vraiment le protocole git+ssh

Avez-vous vraiment besoin d'ajouter la clé au moment de l'exécution ? Ce n'est pas sûr, car vous n'avez pas vérifié l'empreinte digitale, ce qui vous expose aux attaques MiTM. Ce n'est pas seulement théorique, et il a été prouvé que cela fonctionne.

Avant d'exécuter votre script, récupérez la clé depuis github (sur votre machine locale) :

ssh-keyscan github.com >> githubKey

Générer l'empreinte digitale :

ssh-keygen -lf githubKey

Et vérifiez-le manuellement contre ceux énumérés dans cette page (ok, là vous faites confiance aux certificats https et à OpenSSL pour vous apporter le site web original de github, mais c'est toujours bien mieux que d'accepter aveuglément une clé publique).

Alternativement (en faisant confiance au même https et à OpenSSL), vous pouvez le récupérer à l'adresse suivante https://api.github.com/meta comme ça : curl -s https://api.github.com/meta | jq ."ssh_key_fingerprints" | grep RSA . (Merci à @willscripted pour celui-ci)

Ensuite, vous le codez en dur dans votre script en l'ajoutant :

echo '<copy paste the content of 'cat githubKey' on your machine>'  >> ~/.ssh/known_hosts

avant le clone git.

La clé publique de GitHub ne changera que s'ils estiment qu'elle a été compromise (ou pas assez sécurisée). Si c'est le cas, vous veulent votre script d'échouer de toute façon.

En ajoutant la clé à .ssh/known_hosts semble être la bonne chose à faire.

Cependant, lorsque vous automatisez la tâche, vous devez vous assurer que la clé n'est pas déjà contenue et ajoutée à chaque fois. clone / pull tâches.

Cet extrait n'ajoutera l'empreinte digitale que si elle n'a pas déjà été trouvée :

if [ ! -n "$(grep "^bitbucket.org " ~/.ssh/known_hosts)" ]; then ssh-keyscan bitbucket.org >> ~/.ssh/known_hosts 2>/dev/null; fi

Je crois qu'une meilleure option ici est de sauvegarder et de vider votre ~/.ssh/known_hosts effectuez manuellement la connexion SSH, en vérifiant l'adresse IP et l'empreinte digitale, mv ~/.ssh/known_hosts ~/bitbucket_hosts puis utiliser le contenu de ~/bitbucket_hosts dans votre script pour ajouter automatiquement les empreintes digitales connues au fichier known_hosts (n'oubliez pas de restaurer l'original ~/.ssh/known_hosts ).

Cette étape ne doit être effectuée qu'une seule fois (sur n'importe quelle machine, je crois), et une fois que vous avez les empreintes digitales, vous pouvez les incorporer dans votre script d'automatisation.

Bien que je comprenne parfaitement que vous souhaitiez automatiser un tel processus, il serait malvenu de le faire. La raison pour laquelle SSH et les sous-composants réseau connexes se rebiffent lorsqu'ils utilisent un protocole sécurisé est d'avertir un humain que la clé publique d'un système est inconnue. Ceci est intentionnel - l'utilisateur doit explicitement informer le système que l'hôte est attendu. Vous ne voudriez pas accepter automatiquement toutes les clés publiques qui vous sont présentées, sinon une partie de la sécurité de SSH ou TLS/SSL pourrait être compromise. Un exemple est une attaque de type "man-in-the-middle", par exemple lorsqu'un logiciel proxy présente sa propre clé à la place de l'hôte que vous attendez.

Procédez avec prudence.

Si vous n'avez aucune crainte quant à la source du code à travers le fil, vous devriez explicitement et exclusivement utiliser le protocole git:// lors du clonage - il est sans authentification et en texte clair.