¿Cómo puedo forzar a SSH a dar una clave RSA en lugar de ECDSA?

La primera vez que accedo a un servidor, ¿cómo puedo forzar a SSH a que me dé la clave RSA y la almacene automáticamente si el usuario lo aprueba?

Actualmente me está ofreciendo la clave ECDSA. Como ya conozco la clave RSA, preferiría ver la clave RSA presentada en este momento.

Yo he tratado:

ssh -o RSAAuthentication=yes user@server

Lamentablemente, esto me da una clave ECDSA y el Are you sure you want to continue connecting (yes/no)?mensaje.

Al eliminar los algoritmos ECDSA de la HostKeyAlgorithmsvariable de configuración.

ssh -o [email protected],[email protected],[email protected],[email protected],ssh-rsa,ssh-dss user@server

Simplemente eliminé todos los algoritmos ECDSA de la lista predeterminada .

Puede, por supuesto, poner eso en su .ssh/configmáquina:

Host: server
    HostKeyAlgorithms [email protected],[email protected],[email protected],[email protected],ssh-rsa,ssh-dss

No use RSA ya que ECDSA es el nuevo valor predeterminado.

En el servidor haga esto: ssh-keygen -l -f /etc/ssh/ssh_host_ecdsa_key.pub y registre ese número.

En el cliente, puede enviar SSH al host y, si ve ese mismo número, puede responder el mensaje Are you sure you want to continue connecting (yes/no)?afirmativamente. Luego, la clave ECDSA se grabará en el cliente para uso futuro.

Sí, OK, cambie a ECDSA pronto, pero mientras tanto intente esto:

ssh -o HostKeyAlgorithms=ssh-rsa -o FingerprintHash=md5 [email protected]

Acabo de agregar esta línea

HostKeyAlgorithms ssh-rsa

a

/etc/ssh/sshd_conf

y está funcionando bien en esta versión.

OpenSSH_7.7p2 ubuntu-4ubuntu2.2

Solo para mejorar la respuesta de tumbleweed, que tiene un enlace muerto para encontrar la antigua lista de algoritmos.

Primero decida sobre una lista de algoritmos. Para encontrar la lista anterior, use ssh -vv:

ssh -vv somehost

Y busque las 2 líneas como "algoritmos de clave de host: ..." donde la primera parece ser la oferta del servidor y la segunda es la del cliente. O para seleccionar esas 2 líneas automáticamente, intente esto (y para salir presione ctrl + d):

ssh -vv somehost 2>&1 | grep "host key algorithms:"

Ahora filtre hacia abajo ... debe eliminar todos los dss / dsa, ya que son obsoletos desde hace mucho tiempo, y también desea eliminar ecdsa (como lo hago yo), por ejemplo, si tenía:

[email protected],[email protected],[email protected],[email protected],[email protected],ecdsa-sha2-nistp256,ecdsa-sha2-nistp384,ecdsa-sha2-nistp521,ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Deberías terminar con:

[email protected],[email protected],ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

Ahora edite su configuración. Para su propia configuración:

vim ~/.ssh/config

Para la configuración de todo el sistema:

sudo vim /etc/ssh/ssh_config

Agregue una nueva línea, ya sea globalmente:

HostKeyAlgorithms [email protected],[email protected],ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

o para un host específico (no es ideal para la configuración de todo el servidor):

Host somehost
    HostKeyAlgorithms [email protected],[email protected],ssh-ed25519,rsa-sha2-512,rsa-sha2-256,ssh-rsa

En lugar de la lista que ssh -vvingresé , pegue la lista que obtuvo del resultado, sin incluir la parte "algoritmos de clave de host:".

algunos puntos son confusos en cuanto a si es posible eliminar los algoritmos clave de los valores predeterminados existentes: las claves de nivel más alto son las nuevas claves RSA-sha2 / 256/512 y ed25519 para la mejor seguridad utilizando ssh-keygen -t ras -a -b 4096 -a 113 a gen. Aparentemente, el soporte heredado está leyendo noticias ssh de que ssh1 habrá desaparecido por completo: también se eliminarán sus claves dsa de 45 bits y 96 bits máx. También depreciadas. Se corrigió en 128/1024 bit max encontrado pirateable. (Posiblemente, la NSA hizo eso y cojo / excusa, ya que el código de depuración dejaba una gran duda de que nombrarlo era insoportable), por lo que todas las estructuras clave de RSA seguras y de alto costo tienen que ser modificadas para soportar y mantener estándares más altos en el futuro. establezca qué teclas desea usar como se describe en / etc / ssh / sshd_config, intente hacer 2 teclas auth 3 tecla también funciona, es decir: sshd_config "AuthenticationMethods publickey, publickey, publickey" - asegúrese de que las listas ssh -Q kex coincidan con los servidores A y B o los escritorios, por ejemplo, pueden hacer una diferencia en su salida, y asegúrese de que coincidan los mismos algoritmos de exhng clave. Las claves ecdsa más nuevas en producción también son muy débiles y no se recomienda su uso. o get - keyexchange rechazó el acceso parcial al mensaje seguro. Un montón de buena información solo paciente para buscarlo.

O, si insiste en tener el enfoque de clave RSA, puede escribir ssh-keygen -t rsaen el servidor al que desea enviar SSH.

Eso debería generar claves públicas y privadas de RSA en '~ / .ssh / id_rsa'. Ahora todo lo que necesita hacer es copiar la clave pública debajo $HOME/.ssh/authorized_keysde todas esas máquinas desde las cuales tiene la intención de enviar ssh a la máquina en la que generó sus claves RSA.

¡Y luego siéntate y relájate!