☰

新しいバージョンの openssh で (古い) 16 進形式で SSH キーのフィンガープリントを取得する

tag-icon • tag-icon linux ssh freebsd openssh
新しいバージョンの openssh で (古い) 16 進形式で SSH キーのフィンガープリントを取得する

openssh はキーのフィンガープリントを表示する方法を変更したようです。

クライアントマシンからサーバーに ssh しようとしています:

  • クライアント: OpenSSH 6.6.1 を実行している ubuntu 14.04
  • サーバー: OpenSSH 7.2p2 を実行する FreeBSD。

クライアントは、次のように、サーバーのキーの md5 ハッシュを 16 組の 16 進数のシーケンスとして報告します。

a7:b1:3e:3d:84:24:a2:5a:91:5f:6f:e9:cf:dd:2b:6a

サーバーはデフォルトでsha256ハッシュを使用しますが、この答え次のコマンドを実行すると、sha1 ハッシュを強制的に生成できます。

[root@host /etc/ssh]# ssh-keygen -l -E sha1 -f ssh_host_ecdsa_key.pub

結果は次のようになるはずです:

a7:b1:3e:3d:84:24:a2:5a:91:5f:6f:e9:cf:dd:2b:6a

しかし、代わりに次のようになります:

256 SHA1:KIh0ejR4O+RqrSq7JdGAASddRfI [email protected] (ECDSA)

16 進数の代わりに、指紋の base64 エンコード バージョンが表示されているように見えます。

サーバーのキーのチェックサムを、(古い) クライアントによって報告されたものと同じ形式 (コロンで区切られた 16 進数、sha1 ハッシュ) で取得して、それらが同じであることを確認するにはどうすればよいでしょうか?

編集： SSHの古いバージョンでは、MD5チェックサム、ない私が誤って考えていた sha1 チェックサム。 -E オプションでそのチェックサム (現在受け入れられている回答に記載されているはず) を使用すると、目的の出力が得られます。

答え1

クライアントは、次のように、サーバーのキーの sha1 ハッシュを 16 組の 16 進数のシーケンスとして報告します。

    a7:b1:3e:3d:84:24:a2:5a:91:5f:6f:e9:cf:dd:2b:6a

これは MD5 ハッシュです。

走っているのがわかるように

ssh-keygen -l -E md5 -f ssh_host_ecdsa_key.pub

あなたが回答で説明しているような切腹をしなくても、必要な指紋が手に入ります。

答え2

このような場合には、次の小さなスクリプトを使用します (Debian と Ubuntu でテスト済み)。

#!/bin/sh

# Gather the public ssh host keys for the given host
# and for each key print the fingerprint in hex format using the given
# checksum command (e.g. md5sum, sha256sum, ...)

if [ "$#" != 2 ]; then
  echo "usage: $0 hostname checksum_command"
  exit 1
fi

ssh-keyscan $1 2>/dev/null | while read -r line; do
  echo "Scanned key:"
  echo $line
  echo "$2 fingerprint:"
  echo $line | awk '{print $3}' | base64 -d | $2 -b | awk '{print $1}' | sed 's/../&:/g' | sed 's/:$//'
  echo
done

使用例:

$ myscript host.example.com md5sum
Scanned key:
host.example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIJUXq7vpcEpnZQxxiLw/tdg8ui4LoqbW1O5nGyLtGw49
md5sum fingerprint:
6c:ef:26:f7:98:ad:ed:5b:cc:ff:83:13:46:c9:f6:79

Scanned key:
host.example.com ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAACAQC4aLMajBvisnWNR2VX5K1KEkNeRmzlcs+svbY6/DiumMTZNtqB5duZjGkMmEbIclHaT7rQG9efAWsNhai5cJVRZ4VX1Gu/TLycEk4OY56MrrWjQYweSUr/W6E0eVCf7gh/ym2vMcevct4373fGDdlogk9Wa97lDV6PUXRy/znxRlo3tBc6KMOZIBoPu8UjeLr2ZPNPjO6hXX/96HbYfboxjhMl5eb8AWR0MGd4qU7RZZa2XhT4/4eSo8h9gEq8V3tasB24fMdw3K+HRiDyZm8uoNq+IrJlC22pBpzxRQtsv0Nd+uC5pK/UPVI3AFfdHMrmn7IHRio8aEaTloM6MRysGMtXE0kFQ/pV2U3TBmK/9wxID83qMDsQeUH4oTyjSJ0dCBuqgVQUg44z5qXVOK7gruvZSTyH7DsIyAXhlvLNwdtXPJ4HPQ90ZxLpiFWYgSPErQgbfgKeFkoSQiSP1M+UMkITCGRKMeUeDINheRJh/5y8+C3DjE54xyI4903ztyI7HqgVTOOFCtf+dlhCuS6+J20PFXEHDMdGCwmPQrKOG9Rb4NBxuvtn7MxJnwnlIu3nhDjr8SlZDOTvuK+bLpc4AZwEsNY7ANKFvj2mqE6hjkhu+x7khg84VQ6BKOmHIQnMrCpqICaNgB7Vz2d183BETrnfKQaPh79G5cQox5vwvw==
md5sum fingerprint:
b2:9c:cd:30:b1:38:e3:d1:17:d6:73:eb:03:9a:80:83

$ myscript host.example.com sha256sum
Scanned key:
host.example.com ssh-rsa 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
sha256sum fingerprint:
f4:61:58:e4:90:65:c4:70:98:7f:d1:40:0a:d8:d9:79:14:e6:91:dc:b6:ed:91:8c:c0:df:d9:65:db:dd:a0:18

Scanned key:
host.example.com ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIJUXq7vpcEpnZQxxiLw/tdg8ui4LoqbW1O5nGyLtGw49
sha256sum fingerprint:
4b:73:d1:d7:80:87:46:64:56:71:64:10:7a:66:83:9b:c7:58:39:0b:16:74:dd:9b:d9:4b:e5:d5:61:7e:99:45

答え3

結局のところ、SSH クックブック古い 16 進形式でキーを手動で生成する方法があります。私はこれを FreeBSD サーバーで使用しました。

awk '{print $2}' key.pub | base64 -d | md5 | sed 's/../&:/g; s/: .*$//'

これを詳しく見てみましょう:

awk '{print $2}' キー.pub

「key.pub」の2番目の列（スペースで区切られた列）を出力します。これはキーそのものです。

ベース64 -d

キーはbase64でエンコードされています。これにより、キーの実際のバイトが出力されます。

MD5

これは、SSHクックブックページのレシピで指定された「md5sum -b」のFreeBSD版です。

's/../&:/g; s/: .*$//' を sed します

ここには 2 つの sed コマンドがあります。

s/../&:/g;

行の文字のペアをすべて（末尾の 'g' フラグのおかげで）同じペアの後にコロンを付けたものに置き換えます。

s/: .*$//'

末尾のコロンを削除します (コロンの後にスペースが続き、その後に行末までの文字が続く部分を何もない文字に置き換えます)。

答え4

ssh-agent に追加されたキーの場合、このコマンドは MD5 公開キーのフィンガープリントを一覧表示します。

ssh-add -l -E md5

ディレクトリ内のすべての公開鍵の MD5 フィンガープリントを印刷するには、次のコマンドを使用します。

find ~/.ssh/ -name *.pub -printf '%f\t' -exec ssh-keygen -l -E md5 -f {} \;

これにより、識別を容易にするためにファイル名も印刷されます。

関連情報