SSH'yi ECDSA yerine RSA anahtarı vermeye nasıl zorlayabilirim?

Bir sunucuya ilk kez eriştiğinde, SSH'yi bana RSA anahtarını vermeye ve kullanıcı onayladığında otomatik olarak depolamaya nasıl zorlayabilirim?

Şu anda bana ECDSA anahtarı sunuyor. RSA anahtarını zaten bildiğim için, bu noktada sunulan RSA anahtarını görmeyi tercih ederim.

Denedim:

ssh -o RSAAuthentication=yes user@server

Ne yazık ki bu bana bir ECDSA anahtarı ve Are you sure you want to continue connecting (yes/no)?mesaj veriyor .

ECDSA algoritmalarını HostKeyAlgorithmsyapılandırma değişkeninden kaldırarak .

ssh -o HostKeyAlgorithms=ssh-rsa-cert-v01@openssh.com,ssh-dss-cert-v01@openssh.com,ssh-rsa-cert-v00@openssh.com,ssh-dss-cert-v00@openssh.com,ssh-rsa,ssh-dss user@server

Tüm ECDSA algoritmalarını varsayılan listeden kaldırdım .

Tabii ki, bunu .ssh/configo makineye koyabilirsiniz :

Host: server
    HostKeyAlgorithms ssh-rsa-cert-v01@openssh.com,ssh-dss-cert-v01@openssh.com,ssh-rsa-cert-v00@openssh.com,ssh-dss-cert-v00@openssh.com,ssh-rsa,ssh-dss

ECDSA yeni varsayılan ayar olduğundan RSA kullanmayın.

Sunucuda şunu yapın: ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key.pub ve bu numarayı kaydedin.

İstemcide ana bilgisayara SSH gönderebilirsiniz ve aynı numarayı görürseniz ve gördüğünüzde, soruyu doğru olarak cevaplayabilirsiniz Are you sure you want to continue connecting (yes/no)?. Daha sonra ECDSA anahtarı ileride kullanılmak üzere istemciye kaydedilecektir.

Evet, yakında ECDSA'ya geçin, ancak bu arada şunu deneyin:

ssh -o HostKeyAlgorithms=ssh-rsa -o FingerprintHash=md5 user@example.com

Bu satırı yeni ekledim

HostKeyAlgorithms ssh-rsa

için

/etc/ssh/sshd_conf

ve bu sürümde iyi çalışıyor.

OpenSSH_7.7p2 ubuntu-4ubuntu2.2

Sadece eski algoritma listesini bulmak için içinde ölü bir bağlantı olan tumbleweed'in cevabını iyileştirmek için.

İlk önce bir algoritma listesine karar verin. Eski listeyi bulmak için şunu kullanın ssh -vv:

ssh -vv somehost

Birincisi sunucunun teklifi, ikincisi ise müşterinin teklifi olmak üzere "host key algoritmaları: ..." gibi 2 satırı arayın. Veya bu 2 satırı otomatik olarak seçmek için şunu deneyin (ve ctrl + d tuşlarından çıkmak için):

ssh -vv somehost 2>&1 | grep "host key algorithms:"

Şimdi filtreleyin ... tüm dss / dsa'ları uzun süredir kullanılmadıkları için kaldırmalısınız ve ayrıca ecdsa'yı (bende olduğu gibi) kaldırmak istediniz, örneğin:

ecdsa-sha2-nistp256-cert-v01@openssh.com,ecdsa-sha2-nistp384-cert-v01@openssh.com,ecdsa-sha2-nistp521-cert-v01@openssh.com,ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Şununla bitirmelisiniz:

ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Şimdi yapılandırmanızı düzenleyin. Kendi yapılandırmanız için:

vim ~/.ssh/config

Sistem genelindeki yapılandırma için:

sudo vim /etc/ssh/ssh_config

Global olarak yeni bir satır ekleyin:

HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

veya belirli bir ana bilgisayar için (sunucu çapında yapılandırma için ideal değildir):

Host somehost
    HostKeyAlgorithms ssh-ed25519-cert-v01@openssh.com,ssh-rsa-cert-v01@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Girdiğim liste yerine, ssh -vvçıktıdan türettiğiniz listeyi "ana bilgisayar anahtar algoritmaları:" bölümünü içermeden yapıştırın .

bazı noktalar mevcut varsayılanlardan anahtar algoritmaları kaldırmak mümkün olduğu kadar kafa karıştırıcı - En yüksek seviye anahtarları ssh-keygen -t ras -a -b 4096 -a 113 kullanarak en iyi güvenlik için Yeni RSA-sha2 / 256/512 ve ed25519 anahtarlarıdır gen. Eski destek, ssh1'in tamamen kaybolacağı ssh haberlerini okuyor - 45 bit ve 96 bit maksimum - dsa anahtarları da amortismana tabi tutuluyor. 128/1024 bit maksimum sabitlendi hacklenebilir bulundu. (poss NSA bunu yaptı ve hata ayıklama kodu olarak topal / mazeret, isimlendirmenin önemsiz olduğundan şüphe duyuyor), bu nedenle yüksek standartlar ödeyen güvenli RSA anahtar yapılarının daha yüksek standartları desteklemek ve devam ettirmek için yeniden çalışması gerekiyor. / etc / ssh / sshd_config içinde açıklandığı gibi kullanmak istediğiniz tuşları ayarlayın 2 anahtar yetkilendirme 3 anahtarını da deneyin. örn: sshd_config "AuthenticationMethods publickey, publickey, publickey" - ssh -Q kex listelerinin hem A hem de B sunucuları veya masaüstleri ile eşleştiğinden emin olun, örneğin çıktılarında bir fark var - ve aynı anahtar çıkış algoritmalarının eşleştiğinden emin olun. üretimde yeni ecdsa anahtarları da kina zayıf sugg kullanmamaktır. veya get - keyexchange kısmi erişimi güvenli msj reddetti. İyi infoz bir sürü sadece aramak için sabırlı.

Veya, RSA anahtarı yaklaşımında ısrarcıysanız, SSH'ye gitmek ssh-keygen -t rsaistediğiniz sunucuya yazabilirsiniz .

Bu, '~ / .ssh / id_rsa' altında RSA ortak ve özel anahtarları oluşturmalıdır. Şimdi yapmanız gereken tek şey, $HOME/.ssh/authorized_keysssh yapmak istediğiniz tüm makinelerin altındaki ortak anahtarı RSA anahtarlarınızı oluşturduğunuz makineye kopyalamaktır .

Sonra arkanıza yaslanın ve rahatlayın!