Jak sprawdzić, czy para kluczy publiczny / prywatny RSA jest zgodna

Mam dwa pliki id_rsai id_rsa.pub. Jakiego polecenia można użyć do sprawdzenia poprawności, jeśli są one prawidłową parą?

linux security ssh rsa command Ryan
źródło

Potwierdzę odpowiedź Michuelnika; dzięki temu nie musiałem tworzyć nowej pary kluczy. ssh -vteż bardzo pomaga.

Chris K,

Odpowiedzi:

Wolę ssh-keygen -y -e -f <private key>sposób zamiast akceptowanej odpowiedzi Jak testować publiczną / prywatną parę kluczy DSA? na przepełnienie stosu.

ssh-keygen -y -e -f <private key>pobiera klucz prywatny i drukuje odpowiedni klucz publiczny, który można bezpośrednio porównać z dostępnymi kluczami publicznymi. (Wskazówka: strzeż się komentarzy i kluczowych opcji).

(Jak do diabła to robi? Mogę mieć tylko nadzieję, że klucz publiczny jest zakodowany bezpośrednio lub pośrednio w kluczu prywatnym ...)

Sam tego potrzebowałem i użyłem następującego linera Bash. Nie powinien wypisywać niczego, jeśli klucze należą do siebie. Zastosuj trochę -qdo diff w skryptach, a diff tylko odpowiednio ustawia kod powrotu.

PRIVKEY=id_rsa
TESTKEY=id_rsa.pub
diff <( ssh-keygen -y -e -f "$PRIVKEY" ) <( ssh-keygen -y -e -f "$TESTKEY" )

Michuelnik
źródło

@MichaelHampton: teraz rozumiem twój komentarz. „zaakceptowana odpowiedź” powinna odnosić się do pytania o

przepełnienie stosu, a

@Sirch: Myślałem, że decyzja, który klucz jest prywatny, a który publiczny, jest czysto losowa, ponieważ dwa klucze są równe. To, co szyfruje jeden klucz, można odszyfrować tylko drugim. A jeśli jeden klucz można by uzyskać od drugiego, to wszystko by się nie udało.

Michuelnik

@Michuelnik Możesz uzyskać klucz publiczny z klucza prywatnego. Nie możesz uzyskać klucza prywatnego z klucza publicznego. Nie mówiliśmy o materiale, który szyfruje.

Sirch,

@Michuelnik imho, pytanie jest nie na temat na SO i na temat tutaj (i / lub Superuser). imho, nie powinien być oznaczony jako duplikat i zamiast tego oznaczony tam do migracji. Ale dotyczy to obu, więc lubię pełniejsze udostępnianie informacji.

Chris K,

Tak długo, jak istnieje ssh-keygen -y -e -f id_rsaplik id_rsa.pub , nie będzie w ogóle sprawdzał pliku id_rsa.pub, ale po prostu zwróci wartość z pliku id_rsa.pub. Tak więc np. Jeśli chcesz echo 5 > id_rsausunąć klucz prywatny, to wykonaj diff, diff przejdzie! Również uruchamianie ssh-keygen -yef footam , gdzie foo nie jest prawidłowym kluczem (i nie ma odpowiadającego foo.pub), blokuje oczekiwanie na dane wejściowe użytkownika, więc należy zachować ostrożność, używając go w skrypcie.

W zależności od tego, skąd otrzymujesz testowany plik klucza publicznego, zaakceptowana odpowiedź może dać fałszywie pozytywne wyniki. Wynika to z zachowania opisanego w komentarzu @drewbenn. W szczególności, gdy opcja -e jest używana z plikiem klucza prywatnego jako parametrem opcji -f, po prostu papuguje (ale formatuje) to, co jest w powiązanym pliku klucza publicznego.

Innymi słowy,

ssh-keygen -y -f id_rsa

(najwyraźniej) generuje wartość klucza publicznego, oraz

ssh-keygen -y -e -f id_rsa

po prostu i wypisuje (i formatuje) klucz w istniejącym pliku id_rsa.pub, cokolwiek to jest .

W moim przypadku muszę sprawdzić, czy para nie została uszkodzona. Postanowiłem więc porównać następujące elementy:

ssh-keygen -y -f id_rsa | cut -d' ' -f 2

cut -d' ' -f 2 id_rsa.pub

W związku z tym:

diff <(cut -d' ' -f 2 id_rsa.pub) <(ssh-keygen -y -f id_rsa | cut -d' ' -f 2)

Być może nie jest to tak elastyczne, ale lepiej dla moich potrzeb. Może to pomaga komuś innemu.

twildfarmer
źródło

To naprawdę powinno zastąpić przyjętą odpowiedź lub przynajmniej przewyższyć ją pod względem głosów pozytywnych.

thomanski

Dziękuję Ci! To polecenie nie działa z kluczami z hasłem, nie wymaga tego interaktywnie. Wyodrębniłem zawartość dwóch () poleceń do plików i udostępniłem je, co działa.

Yaroslav Nikitenko

Jeśli są w systemie lokalnym, trzymać id_rsa.pubw twojej $HOME/.ssh/authorized_keysi sshdo localhostkorzystania z id_rsaklucza. Jeśli to działa, to pasują do siebie.

cat $HOME/.ssh/id_rsa.pub >> $HOME/.ssh/authorized_keys
ssh -i $HOME/.ssh/id_rsa localhost

Michael Hampton
źródło