Sidik jari kunci PEM ssh

Saya memiliki file PEM yang saya tambahkan ke ssh-agent yang sedang berjalan:

$ file query.pem
query.pem: PEM RSA private key

$ ssh-add ./query.pem
Identity added: ./query.pem (./query.pem)

$ ssh-add -l | grep query
2048 ef:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX ./query.pem (RSA)

Bagaimana saya bisa mendapatkan sidik jari kunci (yang saya lihat di ssh-agent) langsung dari file? Saya tahu ssh-keygen -l -f some_keybekerja untuk kunci ssh "normal", tetapi tidak untuk file PEM.

Jika saya mencoba ssh-keygen pada file .pem, saya mendapatkan:

$ ssh-keygen -l -f ./query.pem                                             
key_read: uudecode PRIVATE KEY----- failed
key_read: uudecode PRIVATE KEY----- failed
./query.pem is not a public key file.

Kunci ini dimulai dengan:

-----BEGIN RSA PRIVATE KEY-----
MIIEp.... etc.

sebagai lawan dari kunci pribadi "biasa", yang terlihat seperti:

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,E15F2.... etc.

Jika Anda ingin mengambil sidik jari dari file kunci publik Anda yang hilang, Anda dapat memulihkannya dari file kunci pribadi :

$ ssh-keygen -yf path/to/private_key_file > path/to/store/public_key_file

Maka Anda dapat memastikan sidik jari publik:

$ ssh-keygen -lf path/to/store/public_key_file
2048 SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@host (RSA)

Pada beberapa sistem yang lebih baru, ini mencetak sidik jari SHA256 dari kunci tersebut. Anda dapat mencetak sidik jari MD5 dari tombol (bentuk titik dua) menggunakan opsi -E:

$ ssh-keygen -E md5 -lf path/to/store/public_key_file
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

Atau sebagai satu baris perintah :

$ ssh-keygen -yf /etc/ssh/ssh_host_ecdsa_key | ssh-keygen -E md5 -lf -
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

AWS " Memverifikasi Sidik Jari Pasangan Kunci Anda " menyediakan dua garis satu yang menyelesaikan masalah, tergantung pada bagaimana kunci Anda dibuat.

Jika Anda membuat pasangan kunci menggunakan AWS:

$ openssl pkcs8 -in query.pem -inform PEM -outform DER -topk8 -nocrypt | openssl sha1 -c
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

Atau, jika Anda membuat pasangan kunci Anda dengan alat pihak ketiga:

$ openssl rsa -in query.pem -pubout -outform DER | openssl md5 -c
writing RSA key
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

(sidik jari redacted di output di atas)

Berikut ini adalah satu baris yang harus melakukan apa yang Anda inginkan tanpa memerlukan pembuatan file kunci publik secara lokal.

$ ssh-keygen -lf /dev/stdin <<< $( ssh-keygen -f ~/.ssh/keyname.pem -y )
2048 14:df:c7:b7:f1:26:7f:87:d5:e7:10:6c:ac:af:a2:03 /dev/stdin (RSA)

Ini menggunakan string bash di sini <<<agar stdin tersedia sebagai file biasa ( /dev/stdin) daripada sebuah pipa karena ssh-keygenhanya akan beroperasi pada file.

Pada rilis 7.2 dari openssh ssh-keygen mendukung sidik jari dari input standar:

• ssh-keygen (1): memungkinkan sidik jari dari input standar, misalnya "ssh-keygen -lf -"

Perhatikan bahwa perintah ini akan terputus dengan kunci pribadi yang menggunakan frasa sandi dan tidak menggunakan agen. Ini harus bekerja dengan file pem yang dihasilkan oleh AWS atau OpenStack yang tidak menggunakan kata sandi.

Lihat https://stackoverflow.com/questions/2635360/ssh-keygen-accepting-stdin untuk info lebih lanjut.

Anda tidak mendapatkan sidik jari dari file kunci pribadi tetapi dari file kunci publik.

Bahkan, ssh-keygen sudah memberi tahu Anda ini:

./query.pem bukan file kunci publik.

Jalankan melawan separuh kunci publik dan itu harus bekerja.

Lebih umum

Pikirkan tentang hal ini: alasan keberadaan sidik jari adalah Anda dapat mengidentifikasi kunci publik. Bahkan, mendapatkan hash dari kunci privat adalah masalah keamanan potensial selain menjadi tidak berguna untuk server (yang bahkan tidak MEMILIKI kunci privat yang bersangkutan).

Setelah Anda memiliki kunci publik, prosesnya adalah memverifikasi bahwa klien memiliki penangguhan pada setengah privat yang sesuai. Karena Anda sudah tahu kunci mana yang Anda coba verifikasi, Anda tidak perlu sidik jari.