REMOTE HOST IDENTIFICATION HAS CHANGEDの対処

WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED! は、以前に接続したときと、サーバーの「ホスト鍵」（サーバーの身分証明にあたる鍵）が変わっているときに、SSH が接続を止める警告です。 原因は2つで、どちらなのかを確かめてから対処します。

「消せば直る」のは、1つ目が確かなときだけです。警告の文面も、なりすましの可能性を最初に挙げています。

確認環境：OpenSSH 9.6（Ubuntu 24.04）、ローカルの SSH サーバー（確認日 2026年10月11日）。一度接続したあと、サーバーのホスト鍵を別の鍵に差し替えて再現しました。

再現：ホスト鍵を作り直したサーバーに接続

$ ssh -p 2222 dev@127.0.0.1
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
@    WARNING: REMOTE HOST IDENTIFICATION HAS CHANGED!     @
@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@@
IT IS POSSIBLE THAT SOMEONE IS DOING SOMETHING NASTY!
Someone could be eavesdropping on you right now (man-in-the-middle attack)!
It is also possible that a host key has just been changed.
The fingerprint for the ED25519 key sent by the remote host is
SHA256:H3U2VsJcqTg/2h4s0DWyC6KufxjFJzcQ8QObh9bKr4c.
Please contact your system administrator.
Add correct host key in /home/dev/.ssh/known_hosts to get rid of this message.
Offending ED25519 key in /home/dev/.ssh/known_hosts:1
  remove with:
  ssh-keygen -f '/home/dev/.ssh/known_hosts' -R '[127.0.0.1]:2222'
Host key for [127.0.0.1]:2222 has changed and you have requested strict checking.
Host key verification failed.

手順1：本当にサーバーの鍵が変わったのか確かめる

エラー文に出たフィンガープリントと、サーバーの本当のフィンガープリントを比べます。 本当のフィンガープリントは、SSH 以外の経路で確かめます。

（サーバー側）
$ ssh-keygen -lf hk2.pub
256 SHA256:H3U2VsJcqTg/2h4s0DWyC6KufxjFJzcQ8QObh9bKr4c root@vm (ED25519)   ← エラー文の値と一致

確認環境では、差し替えた新しい鍵のフィンガープリントが、エラー文の SHA256:H3U2... と一致しました。一致すれば、正当に変わったと判断できます。

ssh-keyscan でも今のサーバーの鍵を取得できますが、これは今つながっている相手（なりすましかもしれない相手）から取得するので、確かめる手段にはなりません。

$ ssh-keyscan -p 2222 -t ed25519 127.0.0.1 | ssh-keygen -lf -
256 SHA256:H3U2VsJcqTg/2h4s0DWyC6KufxjFJzcQ8QObh9bKr4c [127.0.0.1]:2222 (ED25519)

手順2：以前の記録を消す（ssh-keygen -R）

$ ssh-keygen -R '[127.0.0.1]:2222'
# Host [127.0.0.1]:2222 found: line 1
/home/dev/.ssh/known_hosts updated.
Original contents retained as /home/dev/.ssh/known_hosts.old

エラー文の remove with: の行をそのまま実行すれば消せます。消す前の内容は known_hosts.old に残ります。ポートが 22 以外なら、[ホスト]:ポート の形で指定します。

ホスト名と IP アドレスの両方で接続したことがあるなら、記録はそれぞれ別なので、両方を消します。

known_hosts を開いても、ホスト名が見えない

$ cat ~/.ssh/known_hosts
|1|jWNEhnYVgleja1besm2dXB9Bd40=|5cwIOkDQg7Q8/b3emjp0LQMh29c= ssh-ed25519 AAAA...

Ubuntu の設定では、known_hosts のホスト名がハッシュ化（読めない形に変換）されていました。エディタで探すのではなく、ssh-keygen -F で探し、ssh-keygen -R で消します。

$ ssh-keygen -F '[127.0.0.1]:2222'
# Host [127.0.0.1]:2222 found: line 1

手順3：もう一度接続して、新しい鍵を記録する

$ ssh -p 2222 dev@127.0.0.1
The authenticity of host '[127.0.0.1]:2222 ([127.0.0.1]:2222)' can't be established.
ED25519 key fingerprint is SHA256:H3U2VsJcqTg/2h4s0DWyC6KufxjFJzcQ8QObh9bKr4c.
This key is not known by any other names.
Are you sure you want to continue connecting (yes/no/[fingerprint])? yes
Warning: Permanently added '[127.0.0.1]:2222' (ED25519) to the list of known hosts.

ここで表示されるフィンガープリントが、手順1で確かめたものと同じかをもう一度見てから yes と答えます。確かめたフィンガープリントを yes の代わりに貼り付けると、確認環境では、一致したときは接続され、違う値では Please type 'yes', 'no' or the fingerprint: と聞き直されました。

StrictHostKeyChecking=no にしない

$ ssh -o StrictHostKeyChecking=no -p 2222 dev@127.0.0.1
...（警告は出る）
Password authentication is disabled to avoid man-in-the-middle attacks.
Keyboard-interactive authentication is disabled to avoid man-in-the-middle attacks.
connected-no                     ← 鍵が変わっていても、公開鍵の認証で接続できてしまった

StrictHostKeyChecking=no にすると、ホスト鍵が変わっていても接続が進みました。 パスワードでのログインは止められましたが、公開鍵の認証では接続できています。なりすましの相手に接続しても気づけないため、警告を消すためにこの設定を使うのは避けます。

自動化（CI・スクリプト）で初回の確認を省きたいなら、accept-new を使います。新しいサーバーは自動で記録し、鍵が変わったときは止めます（OpenSSH のマニュアル）。

確認の手順（チェックリスト）

よくある質問

Q. known_hosts を丸ごと消してもよいですか。 A. 消せば警告は出なくなりますが、ほかのすべてのサーバーの記録も消え、次に接続したときに、どのサーバーについても本物かを確かめ直すことになります。対象のサーバーの行だけを ssh-keygen -R で消します。

Q. Windows（PowerShell）でも同じですか。 A. Windows の OpenSSH も、C:\Users\ユーザー名\.ssh\known_hosts に記録します。ssh-keygen -R ホスト名 で同じように消せます。

まとめ

• サーバーの身分証明にあたるホスト鍵が、以前と違うときの警告
• 原因はサーバーの作り直しかなりすまし。消す前に、どちらかを確かめる
• エラー文のフィンガープリントと、SSH 以外の経路で確かめた値を比べる（ssh-keyscan は確かめる手段にならない）
• 一致したら、エラー文の ssh-keygen -R をそのまま実行。known_hosts はハッシュ化されていることがある
• StrictHostKeyChecking=no は、鍵が変わっていても接続が進む。自動化は accept-new

参考・出典

確認日はいずれも 2026年10月11日です。

• OpenBSD manual pages「ssh_config(5)」（StrictHostKeyChecking）：https://man.openbsd.org/ssh_config#StrictHostKeyChecking

株式会社RJC ― SI事業・SES事業・AI駆動開発。RJCは一緒に成長を楽しめる会社です。