ลายนิ้วมือของปุ่ม PEM ssh

ฉันมีไฟล์ PEM ซึ่งเพิ่มลงใน ssh-agent กำลังทำงานอยู่:

$ file query.pem
query.pem: PEM RSA private key

$ ssh-add ./query.pem
Identity added: ./query.pem (./query.pem)

$ ssh-add -l | grep query
2048 ef:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX ./query.pem (RSA)

ฉันจะรับลายนิ้วมือของกุญแจ (ซึ่งฉันเห็นใน ssh-agent) ได้โดยตรงจากไฟล์ได้อย่างไร ฉันรู้ว่าssh-keygen -l -f some_keyใช้ได้กับคีย์ ssh "ปกติ" แต่ไม่ใช่สำหรับไฟล์ PEM

ถ้าฉันลอง ssh-keygen ในไฟล์. pem ฉันจะได้รับ:

$ ssh-keygen -l -f ./query.pem                                             
key_read: uudecode PRIVATE KEY----- failed
key_read: uudecode PRIVATE KEY----- failed
./query.pem is not a public key file.

กุญแจนี้เริ่มต้นด้วย:

-----BEGIN RSA PRIVATE KEY-----
MIIEp.... etc.

ซึ่งตรงข้ามกับคีย์ส่วนตัว "ปกติ" ซึ่งมีลักษณะดังนี้:

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,E15F2.... etc.

หากคุณต้องการดึงข้อมูลลายนิ้วมือของไฟล์กุญแจสาธารณะที่หายไปคุณสามารถกู้คืนได้จากไฟล์รหัสส่วนตัว :

$ ssh-keygen -yf path/to/private_key_file > path/to/store/public_key_file

จากนั้นคุณสามารถยืนยันลายนิ้วมือสาธารณะได้:

$ ssh-keygen -lf path/to/store/public_key_file
2048 SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@host (RSA)

ในบางระบบที่ใหม่กว่านี้จะพิมพ์ลายนิ้วมือของคีย์ SHA256 คุณสามารถพิมพ์ลายนิ้วมือ MD5 ของปุ่ม (แบบโคลอน) โดยใช้ตัวเลือก-E:

$ ssh-keygen -E md5 -lf path/to/store/public_key_file
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

หรือเป็นบรรทัดคำสั่งเดียว :

$ ssh-keygen -yf /etc/ssh/ssh_host_ecdsa_key | ssh-keygen -E md5 -lf -
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

AWS ของ " การตรวจสอบลายนิ้วมือคู่กุญแจของคุณ " ให้หนึ่งซับคู่สองตัวที่แก้ปัญหาขึ้นอยู่กับวิธีการสร้างคีย์ของคุณ

หากคุณสร้างคู่กุญแจโดยใช้ AWS:

$ openssl pkcs8 -in query.pem -inform PEM -outform DER -topk8 -nocrypt | openssl sha1 -c
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

หรือถ้าคุณสร้างคู่กุญแจด้วยเครื่องมือของบุคคลที่สาม:

$ openssl rsa -in query.pem -pubout -outform DER | openssl md5 -c
writing RSA key
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

(ลายนิ้วมือ redacted ในผลลัพธ์ด้านบน)

ต่อไปนี้เป็นแผ่นซับเดียวที่ควรทำสิ่งที่คุณต้องการโดยไม่ต้องสร้างไฟล์พับลิกคีย์ในเครื่อง

$ ssh-keygen -lf /dev/stdin <<< $( ssh-keygen -f ~/.ssh/keyname.pem -y )
2048 14:df:c7:b7:f1:26:7f:87:d5:e7:10:6c:ac:af:a2:03 /dev/stdin (RSA)

สิ่งนี้ใช้สตริง bash here <<<เพื่อให้ stdin พร้อมใช้งานเป็นไฟล์ปกติ ( /dev/stdin) แทนที่จะใช้ไพพ์ที่ssh-keygenจะทำงานกับไฟล์เท่านั้น

ตั้งแต่รีลีส 7.2 ของ openssh ssh-keygenรองรับการพิมพ์ลายนิ้วมือจากอินพุตมาตรฐาน:

• ssh-keygen (1): อนุญาตให้พิมพ์ลายนิ้วมือจากอินพุตมาตรฐานเช่น "ssh-keygen -lf -"

โปรดทราบว่าคำสั่งนี้จะแบ่งกับคีย์ส่วนตัวที่ใช้วลีรหัสผ่านและไม่ได้ใช้ตัวแทน ควรทำงานกับไฟล์ pem ที่สร้างโดย AWS หรือ OpenStack ซึ่งไม่ได้ใช้ข้อความรหัสผ่าน

ดูhttps://stackoverflow.com/questions/2635360/ssh-keygen-accepting-stdinสำหรับข้อมูลเพิ่มเติม

คุณไม่ได้รับลายนิ้วมือจากไฟล์กุญแจส่วนตัว แต่จากไฟล์กุญแจสาธารณะ

ในความเป็นจริง ssh-keygen ได้บอกคุณแล้ว:

./query.pem ไม่ใช่ไฟล์กุญแจสาธารณะ

เรียกใช้กับครึ่งสาธารณะของคีย์และควรทำงาน

พูดโดยทั่วไปมากกว่า

ลองคิดดู: เหตุผลที่มีลายนิ้วมืออยู่ก็คือคุณสามารถระบุรหัสสาธารณะได้ อันที่จริงแล้วการรับแฮ็กของรหัสส่วนตัวเป็นปัญหาด้านความปลอดภัยที่อาจเกิดขึ้นนอกเหนือจากการใช้เซิร์ฟเวอร์ (ซึ่งไม่ได้มีรหัสส่วนตัวที่เป็นปัญหา)

เมื่อคุณมีพับลิกคีย์กระบวนการจะตรวจสอบว่าไคลเอ็นต์มีการพักครึ่งไพรเวตที่สอดคล้องกัน เนื่องจากคุณทราบว่าแป้นใดที่คุณพยายามยืนยันคุณไม่จำเป็นต้องใช้ลายนิ้วมือ