sftp - 带有session.setConfig的JSch SFTP安全性(“StrictHostKeyChecking”， “no”);

Question

我使用带有私钥的JSch到FTP文件

jsch.addIdentity(privatekeyfile);

Session session = jsch.getSession(“user”，“domain.com”，22);

session.setConfig(“StrictHostKeyChecking”，“no”);

第3行存在疑问。没有这一行，JSch将无法正常工作。

我的问题是:
第3行会使SFTP传输不安全吗？

Answer 1

禁用StrictHostKeyChecking选项会使连接的安全性低于启用该选项的安全性，因为它使您无需验证SSH主机 key 即可连接到远程服务器。如果启用该选项，则您将只能连接到SSH客户端知道 key 的服务器。

您将必须确定这对您的特定用例意味着什么-是在专用本地网络上连接的服务器，还是通过Internet连接的服务器？这是测试环境还是生产环境？

如有疑问，最好在提高安全性方面犯错误。我建议启用StricktHostKeyChecking并使用 setKnownHosts method提供包含远程主机 key 的文件。