Come posso forzare SSH a fornire una chiave RSA anziché ECDSA?

Al primo accesso a un server, come posso forzare SSH a fornirmi la chiave RSA e memorizzarla automaticamente se l'utente lo approva?

Attualmente mi offre la chiave ECDSA. Poiché conosco già la chiave RSA, preferirei vedere la chiave RSA presentata a questo punto.

Ho provato:

ssh -o RSAAuthentication=yes user@server

Purtroppo questo mi dà una chiave ECDSA e il Are you sure you want to continue connecting (yes/no)?messaggio.

Rimuovendo gli algoritmi ECDSA dalla HostKeyAlgorithmsvariabile di configurazione.

ssh -o HostKeyAlgorithms=ssh-rsa-cert-v01@openssh.com,ssh-dss-cert-v01@openssh.com,ssh-rsa-cert-v00@openssh.com,ssh-dss-cert-v00@openssh.com,ssh-rsa,ssh-dss user@server

Ho semplicemente rimosso tutti gli algoritmi ECDSA dall'elenco predefinito .

Ovviamente puoi metterlo nel tuo .ssh/configper quella macchina:

Host: server
    HostKeyAlgorithms ssh-rsa-cert-v01@openssh.com,ssh-dss-cert-v01@openssh.com,ssh-rsa-cert-v00@openssh.com,ssh-dss-cert-v00@openssh.com,ssh-rsa,ssh-dss

Non utilizzare RSA poiché ECDSA è il nuovo valore predefinito.

Sul server fai questo: ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key.pub e registra quel numero.

Sul client è possibile SSH per l'host e se e quando si vede lo stesso numero, è possibile rispondere Are you sure you want to continue connecting (yes/no)?affermativamente al prompt . Quindi la chiave ECDSA verrà registrata sul client per uso futuro.

Sì, OK passa presto a ECDSA, ma nel frattempo prova questo:

ssh -o HostKeyAlgorithms=ssh-rsa -o FingerprintHash=md5 user@example.com

Ho appena aggiunto questa riga

HostKeyAlgorithms ssh-rsa

per

/etc/ssh/sshd_conf

e funziona bene in questa versione.

OpenSSH_7.7p2 ubuntu-4ubuntu2.2

Solo per migliorare la risposta di tumbleweed che contiene un link morto per trovare il vecchio elenco di algoritmi.

Prima di tutto, decidi un elenco di algoritmi. Per trovare il vecchio elenco, utilizzare ssh -vv:

ssh -vv somehost

E cerca le 2 righe come "algoritmi chiave host: ..." dove la prima sembra essere l'offerta del server e la seconda è quella del client. O per selezionare automaticamente quelle 2 linee, prova questo (e per uscire premi ctrl + d):

ssh -vv somehost 2>&1 | grep "host key algorithms:"

Ora filtralo ... dovresti rimuovere tutti quelli dss / dsa poiché sono obsoleti da tempo, e volevi anche rimuovere ecdsa (come faccio io), quindi per esempio se avessi:

ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521-cert-v01@openssh.com,ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Dovresti finire con:

ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Ora modifica la tua configurazione. Per la tua configurazione:

vim ~/.ssh/config

Per la configurazione del sistema:

sudo vim /etc/ssh/ssh_config

Aggiungi una nuova linea, a livello globale:

HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

o per un host specifico (non ideale per la configurazione a livello di server):

Host somehost
    HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Invece dell'elenco che ho inserito, incolla l'elenco derivato ssh -vvdall'output, senza includere la parte "algoritmi chiave host:".

alcuni punti sono confusi in quanto è possibile rimuovere gli algoritmi delle chiavi dai valori predefiniti esistenti - Le chiavi di livello più alto sono le nuove chiavi RSA-sha2 / 256/512 ed ed25519 per la massima sicurezza utilizzando ssh-keygen -t ras -a -b 4096 -a 113 alla gen. A quanto pare, il supporto legacy sta leggendo le notizie ssh che ssh1 sarà totalmente sparito - anche le sue chiavi 45 bit e 96 bit max - dsa anch'esse ammortizzate verranno eliminate. È stato risolto su 128/1024 bit max trovato hackable. (poss l'NSA lo ha fatto e lame / scuse come codice di debug ha lasciato senza dubbio il rischio di nominarlo senza cuore), quindi tutte le strutture chiave RSA a pagamento ad alto costo devono essere rielaborate per supportare e mantenere standard più elevati in futuro. imposta quali chiavi vuoi usare come descritto in / etc / ssh / sshd_config prova anche a fare 2 chiavi auth 3 chiave funziona anche ad es .: sshd_config "AuthenticationMethods publickey, publickey, publickey" - assicurati che gli elenchi di ssh -Q kex corrispondano sia ai server A che ai desktop, ad esempio possibilmente fare una differenza sul loro output - e assicurati che gli stessi algoritmi chiave di eshng corrispondano. chiavi ecdsa più recenti nella produzione sono anche molto deboli da non usare. oppure get - keyexchange ha rifiutato l'accesso parziale sicuro msg. Un sacco di buone informazioni solo paziente per cercarlo.

In alternativa, se si insiste sull'approccio della chiave RSA, è possibile digitare ssh-keygen -t rsasul server a cui si intende SSH.

Ciò dovrebbe generare le chiavi pubbliche e private RSA in "~ / .ssh / id_rsa". Ora tutto ciò che devi fare è copiare la chiave pubblica in $HOME/.ssh/authorized_keystutte quelle macchine da cui intendi eseguire il ssh sulla macchina su cui hai generato le tue chiavi RSA.

E poi siediti e rilassati!