Wyodrębnij klucz publiczny / prywatny z pliku PKCS12 do późniejszego użycia w uwierzytelnianiu SSH-PK

Chcę wyodrębnić klucz publiczny i prywatny z mojego PKCS#12pliku do późniejszego użycia w uwierzytelnianiu klucza publicznego SSH.

W tej chwili generuję klucze za pomocą ssh-keygen, do którego wkładam .ssh/authorized_key, odpowiednio gdzieś po stronie klienta.

W przyszłości chcę używać kluczy z PKCS#12kontenera, więc najpierw muszę wyodrębnić klucz publiczny, PKCS#12a następnie umieścić je w .ssh/authorized_keyspliku. Czy jest jakaś szansa, aby to zadziałało openssl? Czy klucze są PKCS#12zgodne z uwierzytelnianiem ssh-public-key?

Do wyodrębnienia klucza publicznego / prywatnego z kontenera PKCS # 12 można użyć następujących poleceń:

• PKCS nr 1 Klucz prywatny

  openssl pkcs12 -in yourP12File.pfx -nocerts -out privateKey.pem
  

• Certyfikaty:

  openssl pkcs12 -in yourP12File.pfx -clcerts -nokeys -out publicCert.pem
  

Jest to możliwe przy odrobinie konwersji formatu.

Aby wyodrębnić klucz prywatny w formacie openssh, można użyć:

openssl pkcs12 -in pkcs12.pfx -nocerts -nodes | openssl rsa > id_rsa

Aby przekonwertować klucz prywatny na klucz publiczny:

openssl rsa -in id_rsa -pubout | ssh-keygen -f /dev/stdin -i -m PKCS8

Aby wyodrębnić klucz publiczny w formacie openssh, można użyć:

openssl pkcs12 -in pkcs12.pfx -clcerts -nokeys | openssl x509 -pubkey -noout | ssh-keygen -f /dev/stdin -i -m PKCS8

OpenSSH nie może używać plików PKCS # 12 po wyjęciu z pudełka. Jak sugerowali inni, musisz wyodrębnić klucz prywatny w formacie PEM, który przeniesie Cię z krainy OpenSSL do OpenSSH. Inne wymienione tutaj rozwiązania nie działają dla mnie. Używam OS X 10.9 Mavericks (obecnie 10.9.3) z narzędziami „paczkowanymi” (OpenSSL 0.9.8y, OpenSSH 6.2p2).

Najpierw wyodrębnij klucz prywatny w formacie PEM, który będzie używany bezpośrednio przez OpenSSH:

openssl pkcs12 -in filename.p12 -clcerts -nodes -nocerts | openssl rsa > ~/.ssh/id_rsa

Zdecydowanie sugeruję zaszyfrowanie klucza prywatnego hasłem:

openssl pkcs12 -in filename.p12 -clcerts -nodes -nocerts | openssl rsa -passout 'pass:Passw0rd!' > ~/.ssh/id_rsa

Oczywiście pisanie hasła w postaci zwykłego tekstu w wierszu poleceń również nie jest bezpieczne, dlatego należy usunąć ostatnie polecenie z historii lub po prostu upewnić się, że go nie dostanie. Różne muszle mają różne sposoby. Możesz poprzedzić swoje polecenie spacją, aby zapobiec zapisaniu go w historii w Bash i wielu innych powłokach. Oto także, jak usunąć polecenie z historii w Bash:

history -d $(history | tail -n 2 | awk 'NR == 1 { print $1 }')

Alternatywnie możesz użyć innego sposobu, aby przekazać hasło klucza prywatnego do OpenSSL - zapoznaj się z dokumentacją OpenSSL, aby uzyskać argumenty wyrażenia hasła .

Następnie utwórz klucz publiczny OpenSSH, który można dodać do pliku uprawnionych kluczy:

ssh-keygen -y -f ~/.ssh/id_rsa > ~/.ssh/id_rsa.pub

Rozwiązanie 1:

Wyodrębnij P12 z jks

keytool -importkeystore -srckeystore MyRootCA.jks -destkeystore MyRootCA.p12 -deststoretype PKCS12

Wyodrębnij PEM z P12 i Edytuj plik i pem z pliku crt

openssl pkcs12 -in MyRootCA.p12 -clcerts -nokeys -out MyRootCA.crt

Wyodrębnij klucz z jks

openssl pkcs12 -in MyRootCA.p12 -nocerts -out encryptedPrivateKey.pem
openssl rsa -in encryptedPrivateKey.pem -out decryptedPrivateKey.key

Rozwiązanie 2:

Wyodrębnij PEM i encryptedPrivateKey do pliku txt ''

openssl pkcs12 -in MyRootCA.p12 -out keys_out.txt

Odszyfruj klucz prywatny

openssl rsa -in encryptedPrivateKey.key [-outform PEM] -out decryptedPrivateKey.key

Aktualizacja: Zauważyłem, że moja odpowiedź była tylko kiepskim duplikatem dobrze wyjaśnionego pytania na stronie https: //unix.stackexchange.com / ... autorstwa BryKKan

Oto fragment z niego:

openssl pkcs12 -in <filename.pfx> -nocerts -nodes | sed -ne '/-BEGIN PRIVATE KEY-/,/-END PRIVATE KEY-/p' > <clientcert.key>

openssl pkcs12 -in <filename.pfx> -clcerts -nokeys | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > <clientcert.cer>

openssl pkcs12 -in <filename.pfx> -cacerts -nokeys -chain | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > <cacerts.cer>

O ile wiem PKCS # 12 to tylko magazyn certyfikatów / kluczy publicznych / prywatnych. Jeśli wyodrębniłeś klucz publiczny z pliku PKCS # 12, OpenSSH powinien móc go używać, dopóki jest on wyodrębniony w formacie PEM . Prawdopodobnie już wiesz, że potrzebujesz również odpowiedniego klucza prywatnego (również w PEM ), aby móc go używać do uwierzytelniania ssh-kluczem publicznym.

Zaakceptowana odpowiedź to poprawne polecenie, chcę tylko dodać jedną dodatkową rzecz, podczas wyodrębniania klucza, jeśli pozostawisz "Enter PEM pass phrase:"puste hasło PEM ( ), pełny klucz nie zostanie wyodrębniony, ale tylkolocalKeyID zostanie wyodrębniony. Aby uzyskać pełny klucz, musisz podać hasło PEM, uruchamiając następujące polecenie.

Pamiętaj, że jeśli chodzi o hasło importowania, możesz podać rzeczywiste hasło "Enter Import Password:"lub pozostawić to hasło puste:

openssl pkcs12 -in yourP12File.pfx -nocerts -out privateKey.pem