ฉันจะบังคับ SSH ให้คีย์ RSA แทน ECDSA ได้อย่างไร

เมื่อเข้าใช้เซิร์ฟเวอร์เป็นครั้งแรกฉันจะบังคับ SSH ให้คีย์ RSA ให้ฉันได้อย่างไรและจัดเก็บโดยอัตโนมัติหากผู้ใช้อนุมัติ

ไม่นานมานี้ฉันกำลังมอบกุญแจ ECDSA ให้ฉัน เนื่องจากฉันรู้จักคีย์ RSA แล้วฉันต้องการดูคีย์ RSA ที่นำเสนอ ณ จุดนี้

ฉันเหนื่อย:

ssh -o RSAAuthentication=yes user@server

น่าเสียดายที่นี่ให้รหัส ECDSA และAre you sure you want to continue connecting (yes/no)?ข้อความถึงฉัน

โดยการลบอัลกอริทึม ECDSA ออกจากHostKeyAlgorithmsตัวแปรการกำหนดค่า

ssh -o HostKeyAlgorithms=ssh-rsa-cert-v01@openssh.com,ssh-dss-cert-v01@openssh.com,ssh-rsa-cert-v00@openssh.com,ssh-dss-cert-v00@openssh.com,ssh-rsa,ssh-dss user@server

ผมเคยเอาออกเพียงแค่ทุกขั้นตอนวิธีการ ECDSA จากรายการเริ่มต้น

แน่นอนคุณสามารถใส่สิ่งนั้นลงในเครื่องของคุณได้.ssh/config:

Host: server
    HostKeyAlgorithms ssh-rsa-cert-v01@openssh.com,ssh-dss-cert-v01@openssh.com,ssh-rsa-cert-v00@openssh.com,ssh-dss-cert-v00@openssh.com,ssh-rsa,ssh-dss

อย่าใช้ RSA เนื่องจาก ECDSA เป็นค่าเริ่มต้นใหม่

บนเซิร์ฟเวอร์ทำสิ่งนี้: ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key.pub และบันทึกหมายเลขนั้น

บนไคลเอนต์คุณสามารถ SSH ไปยังโฮสต์และถ้าและเมื่อคุณเห็นหมายเลขเดียวกันคุณสามารถตอบพร้อมรับคำAre you sure you want to continue connecting (yes/no)?ยืนยัน จากนั้นคีย์ ECDSA จะถูกบันทึกไว้ในไคลเอนต์เพื่อใช้ในอนาคต

ใช่ตกลงเปลี่ยนเป็น ECDSA เร็ว ๆ นี้ แต่ในระหว่างนี้ลองทำดังนี้:

ssh -o HostKeyAlgorithms=ssh-rsa -o FingerprintHash=md5 user@example.com

ฉันเพิ่งเพิ่มบรรทัดนี้

HostKeyAlgorithms ssh-rsa

ถึง

/etc/ssh/sshd_conf

และมันใช้งานได้ดีในรุ่นนี้

OpenSSH_7.7p2 ubuntu-4ubuntu2.2

เพียงเพื่อปรับปรุงคำตอบของ tumbleweed ซึ่งมีลิงค์อยู่ในนั้นเพื่อค้นหารายการเก่าของอัลกอริทึม

ก่อนตัดสินใจในรายการของอัลกอริทึม ในการค้นหารายการเก่าให้ใช้ssh -vv:

ssh -vv somehost

และมองหา 2 บรรทัดเช่น "อัลกอริธึมของคีย์โฮสต์: ... " โดยที่แรกดูเหมือนจะเป็นข้อเสนอของเซิร์ฟเวอร์และที่สองเป็นของลูกค้า หรือหากต้องการเลือก 2 บรรทัดเหล่านี้โดยอัตโนมัติให้ลองใช้วิธีนี้ (และเพื่อออกจากการกด ctrl + d):

ssh -vv somehost 2>&1 | grep "host key algorithms:"

ตอนนี้กรองมันลง ... คุณควรลบ dss / dsa ทั้งหมดออกเนื่องจากล้าสมัยมานานและคุณต้องการลบ ecdsa (เช่นเดียวกับฉัน) ดังนั้นตัวอย่างเช่นถ้าคุณมี:

ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521-cert-v01@openssh.com,ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

คุณควรท้ายด้วย:

ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

ตอนนี้แก้ไขการกำหนดค่าของคุณ สำหรับการกำหนดค่าของคุณเอง:

vim ~/.ssh/config

สำหรับการกำหนดค่าทั้งระบบ:

sudo vim /etc/ssh/ssh_config

เพิ่มบรรทัดใหม่ทั้งในระดับโลก:

HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

หรือสำหรับโฮสต์ที่เฉพาะเจาะจง (ไม่เหมาะสำหรับการกำหนดค่าเซิร์ฟเวอร์แบบกว้าง):

Host somehost
    HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

แทนรายการที่ฉันป้อนให้วางรายการที่คุณได้รับจากssh -vvผลลัพธ์ไม่รวมส่วน "อัลกอริธึมของคีย์โฮสต์:"

บางจุดทำให้เกิดความสับสนว่าเป็นไปได้หรือไม่ที่จะลบอัลกอริธึมที่สำคัญออกจากค่าเริ่มต้นที่มีอยู่ - ปุ่มระดับสูงสุดคือคีย์ RSA-sha2 / 256/512 และ ed25519 ใหม่เพื่อความปลอดภัยที่ดีที่สุดโดยใช้ ssh-keygen -t ras -a -b 4096 -a 113 เพื่อเก็น เห็นได้ชัดว่าการสนับสนุนแบบดั้งเดิมอ่านข่าว ssh ว่า ssh1 จะหายไปโดยสิ้นเชิง - คีย์ 45 บิตและ 96 บิตสูงสุด - ดีเอสเอยังตัดค่าเสื่อมราคาเช่นกัน แก้ไขได้ที่ 128/1024 บิตสูงสุดพบว่าแฮ็ก (posses NSA ทำอย่างนั้นและทำให้ง่อย / แก้ตัวในขณะที่ debug code มีข้อสงสัยอย่างมากว่าตั้งชื่อมันว่า heartbleed) ดังนั้นค่าใช้จ่ายสูงที่จ่ายโครงสร้างโครงสร้างคีย์ RSA ที่ปลอดภัยจะต้องทำใหม่เพื่อรองรับและรักษามาตรฐานที่สูงขึ้นต่อไป ตั้งค่าคีย์ที่คุณต้องการใช้ตามที่อธิบายไว้ใน / etc / ssh / sshd_config ลองทำ 2 คีย์ auth 3 คีย์ทำงานด้วยเช่น: sshd_config "AuthenticationMethods publickey, publickey, publickey" - ตรวจสอบให้แน่ใจว่ารายชื่อ ssh -Q kex ตรงกับทั้งเซิร์ฟเวอร์ A และ B หรือเดสก์ท็อปเป็นตัวอย่างที่ต่างออกไปจากเอาท์พุต คีย์ ecdsa ที่ใหม่กว่าในการผลิตก็เป็นข้อแนะนำที่ไม่ควรใช้เช่นกัน หรือรับ - keyexchange ปฏิเสธข้อความยืนยันความปลอดภัยการเข้าถึงบางส่วน Infoz ที่ดีมากมายอดทนที่จะค้นหา

หรือถ้าคุณยืนยันว่ามีวิธีการคีย์ RSA คุณสามารถพิมพ์ssh-keygen -t rsaบนเซิร์ฟเวอร์ที่คุณตั้งใจจะใช้ SSH

ควรสร้างคีย์สาธารณะและคีย์ส่วนตัวของ RSA ภายใต้ '~ / .ssh / id_rsa' ตอนนี้สิ่งที่คุณต้องทำคือการคัดลอกกุญแจสาธารณะภายใต้$HOME/.ssh/authorized_keysเครื่องทั้งหมดที่คุณต้องการ ssh ไปยังเครื่องที่คุณสร้างคีย์ RSA ของคุณ

จากนั้นนั่งลงและผ่อนคลาย!