Impronta digitale del tasto ssh PEM

Ho un file PEM che aggiungo a un ssh-agent in esecuzione:

$ file query.pem
query.pem: PEM RSA private key

$ ssh-add ./query.pem
Identity added: ./query.pem (./query.pem)

$ ssh-add -l | grep query
2048 ef:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX ./query.pem (RSA)

Come posso ottenere l'impronta digitale della chiave (che vedo in ssh-agent) direttamente dal file? So che ssh-keygen -l -f some_keyfunziona con chiavi ssh "normali", ma non con file PEM.

Se provo ssh-keygen sul file .pem, ottengo:

$ ssh-keygen -l -f ./query.pem                                             
key_read: uudecode PRIVATE KEY----- failed
key_read: uudecode PRIVATE KEY----- failed
./query.pem is not a public key file.

Questa chiave inizia con:

-----BEGIN RSA PRIVATE KEY-----
MIIEp.... etc.

al contrario di una chiave privata "normale", che assomiglia a:

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,E15F2.... etc.

Se si desidera recuperare l'impronta digitale del file della chiave pubblica persa, è possibile recuperarlo dal file della chiave privata :

$ ssh-keygen -yf path/to/private_key_file > path/to/store/public_key_file

Quindi sei in grado di accertare l'impronta digitale pubblica:

$ ssh-keygen -lf path/to/store/public_key_file
2048 SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@host (RSA)

Su alcuni sistemi più recenti, questo stampa l'impronta digitale SHA256 della chiave. È possibile stampare l'impronta digitale MD5 della chiave (il modulo due punti) utilizzando l'opzione -E:

$ ssh-keygen -E md5 -lf path/to/store/public_key_file
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

O come una riga di comando :

$ ssh-keygen -yf /etc/ssh/ssh_host_ecdsa_key | ssh-keygen -E md5 -lf -
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

" Verifica dell'impronta digitale della tua coppia di chiavi " di AWS fornisce due linee di risposta che risolvono il problema, a seconda di come è stata creata la chiave.

Se hai creato la tua coppia di chiavi usando AWS:

$ openssl pkcs8 -in query.pem -inform PEM -outform DER -topk8 -nocrypt | openssl sha1 -c
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

Oppure, se hai creato la tua coppia di chiavi con uno strumento di terze parti:

$ openssl rsa -in query.pem -pubout -outform DER | openssl md5 -c
writing RSA key
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

(impronte digitali ridotte nell'output sopra)

Ecco una linea che dovrebbe fare quello che vuoi senza richiedere la creazione di un file di chiave pubblica localmente.

$ ssh-keygen -lf /dev/stdin <<< $( ssh-keygen -f ~/.ssh/keyname.pem -y )
2048 14:df:c7:b7:f1:26:7f:87:d5:e7:10:6c:ac:af:a2:03 /dev/stdin (RSA)

Questo utilizza la stringa bash here <<<per avere stdin disponibile come file normale ( /dev/stdin) anziché come pipe, poiché ssh-keygenfunzionerà solo su un file.

A partire dalla versione 7.2 di openssh ssh-keygen supporta l'impronta digitale dall'input standard:

• ssh-keygen (1): consente l'impronta digitale dall'input standard, ad esempio "ssh-keygen -lf -"

Si noti che questo comando si interromperà con le chiavi private che utilizzano una passphrase e non utilizzano un agente. Dovrebbe funzionare con file pem generati da AWS o OpenStack che non usano passphrase.

Vedi https://stackoverflow.com/questions/2635360/ssh-keygen-accepting-stdin per maggiori informazioni.

Non si ottiene l'impronta digitale dal file della chiave privata ma dal file della chiave pubblica.

In effetti, ssh-keygen ti ha già detto questo:

./query.pem non è un file di chiave pubblica.

Eseguilo contro la metà pubblica della chiave e dovrebbe funzionare.

Più in generale

Pensaci: il motivo dell'esistenza dell'impronta digitale è che puoi identificare la chiave pubblica. In effetti, ottenere un hash della chiave privata è un potenziale problema di sicurezza oltre ad essere inutile per il server (che non ha nemmeno la chiave privata in questione).

Una volta che hai la chiave pubblica, il processo è verificare che il client abbia una sospensione sulla metà privata corrispondente. Dato che sai già quali chiavi stai cercando di verificare, non hai bisogno dell'impronta digitale.