Odcisk palca klucza PEM ssh

Mam plik PEM, który dodaję do działającego agenta ssh:

$ file query.pem
query.pem: PEM RSA private key

$ ssh-add ./query.pem
Identity added: ./query.pem (./query.pem)

$ ssh-add -l | grep query
2048 ef:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX ./query.pem (RSA)

Jak mogę uzyskać odcisk palca klucza (który widzę w ssh-agent) bezpośrednio z pliku? Wiem, że ssh-keygen -l -f some_keydziała dla „normalnych” kluczy ssh, ale nie dla plików PEM.

Jeśli spróbuję ssh-keygen na pliku .pem, otrzymam:

$ ssh-keygen -l -f ./query.pem                                             
key_read: uudecode PRIVATE KEY----- failed
key_read: uudecode PRIVATE KEY----- failed
./query.pem is not a public key file.

Ten klucz zaczyna się od:

-----BEGIN RSA PRIVATE KEY-----
MIIEp.... etc.

w przeciwieństwie do „zwykłego” klucza prywatnego, który wygląda następująco:

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,E15F2.... etc.

Jeśli chcesz odzyskać odcisk palca utraconego pliku klucza publicznego, możesz go odzyskać z pliku klucza prywatnego :

$ ssh-keygen -yf path/to/private_key_file > path/to/store/public_key_file

Następnie możesz ustalić publiczny odcisk palca:

$ ssh-keygen -lf path/to/store/public_key_file
2048 SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@host (RSA)

W niektórych nowszych systemach drukuje odcisk palca SHA256 klucza. Możesz wydrukować odcisk palca MD5 klucza (formularz dwukropka), używając opcji -E:

$ ssh-keygen -E md5 -lf path/to/store/public_key_file
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

Lub jako jeden wiersz poleceń :

$ ssh-keygen -yf /etc/ssh/ssh_host_ecdsa_key | ssh-keygen -E md5 -lf -
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

„ Weryfikacja odcisku palca pary kluczy ” firmy AWS zawiera dwa jednolinijki, które rozwiązują problem, w zależności od sposobu utworzenia klucza.

Jeśli utworzyłeś parę kluczy za pomocą AWS:

$ openssl pkcs8 -in query.pem -inform PEM -outform DER -topk8 -nocrypt | openssl sha1 -c
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

Lub, jeśli utworzyłeś parę kluczy za pomocą narzędzia innej firmy:

$ openssl rsa -in query.pem -pubout -outform DER | openssl md5 -c
writing RSA key
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

(odciski palców zredagowane na wydruku powyżej)

Oto jedna linijka, która powinna robić, co chcesz, bez konieczności lokalnego tworzenia pliku klucza publicznego.

$ ssh-keygen -lf /dev/stdin <<< $( ssh-keygen -f ~/.ssh/keyname.pem -y )
2048 14:df:c7:b7:f1:26:7f:87:d5:e7:10:6c:ac:af:a2:03 /dev/stdin (RSA)

Wykorzystuje ciąg bash tutaj <<<, aby stdin był dostępny jako zwykły plik ( /dev/stdin), a nie jako potok, ponieważ ssh-keygenbędzie działał tylko na pliku.

Od wydania 7.2 openssh ssh-keygen obsługuje pobieranie odcisków palców ze standardowego wejścia:

• ssh-keygen (1): zezwól na pobieranie odcisków palców ze standardowego wejścia, np. „ssh-keygen -lf -”

Zauważ, że to polecenie zostanie zerwane z kluczami prywatnymi, które używają hasła i nie używają agenta. Powinien działać z plikami pem generowanymi przez AWS lub OpenStack, które nie używają haseł.

Aby uzyskać więcej informacji, zobacz https://stackoverflow.com/questions/2635360/ssh-keygen-accepting-stdin .

Odcisk palca nie jest pobierany z pliku klucza prywatnego, ale z pliku klucza publicznego.

W rzeczywistości ssh-keygen powiedział ci już:

./query.pem nie jest plikiem klucza publicznego.

Uruchom go przeciwko publicznej połowie klucza i powinien działać.

Mówiąc bardziej ogólnie

Pomyśl o tym: powodem istnienia odcisku palca jest to, że możesz zidentyfikować klucz publiczny. W rzeczywistości uzyskanie skrótu klucza prywatnego jest potencjalnym problemem bezpieczeństwa obok bycia bezużytecznym dla serwera (który nawet NIE MA tego klucza prywatnego).

Po uzyskaniu klucza publicznego proces polega na sprawdzeniu, czy klient blokuje odpowiednią połowę prywatną. Ponieważ już wiesz, które klucze próbujesz zweryfikować, nie potrzebujesz odcisku palca.