PEM SSH密钥的指纹

我有一个PEM文件，我将其添加到正在运行的ssh-agent中：

$ file query.pem
query.pem: PEM RSA private key

$ ssh-add ./query.pem
Identity added: ./query.pem (./query.pem)

$ ssh-add -l | grep query
2048 ef:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX ./query.pem (RSA)

如何直接从文件中获取密钥的指纹（在ssh-agent中看到）？我知道ssh-keygen -l -f some_key适用于“普通” ssh密钥，但不适用于PEM文件。

如果我在.pem文件上尝试ssh-keygen，则会得到：

$ ssh-keygen -l -f ./query.pem                                             
key_read: uudecode PRIVATE KEY----- failed
key_read: uudecode PRIVATE KEY----- failed
./query.pem is not a public key file.

此项以以下内容开头：

-----BEGIN RSA PRIVATE KEY-----
MIIEp.... etc.

与“常规”私钥相反，后者类似于：

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,E15F2.... etc.

如果要检索丢失的公用密钥文件的指纹，可以从专用密钥文件中恢复它：

$ ssh-keygen -yf path/to/private_key_file > path/to/store/public_key_file

然后，您可以确定公共指纹：

$ ssh-keygen -lf path/to/store/public_key_file
2048 SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@host (RSA)

在某些较新的系统上，这会打印密钥的SHA256指纹。您可以使用option打印密钥的MD5指纹（冒号形式）-E：

$ ssh-keygen -E md5 -lf path/to/store/public_key_file
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

或作为一个命令行：

$ ssh-keygen -yf /etc/ssh/ssh_host_ecdsa_key | ssh-keygen -E md5 -lf -
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

AWS的“ 验证密钥对的指纹 ”根据问题的创建方式提供了两种解决方案，可以解决这一问题。

如果您使用AWS创建密钥对：

$ openssl pkcs8 -in query.pem -inform PEM -outform DER -topk8 -nocrypt | openssl sha1 -c
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

或者，如果您使用第三方工具创建了密钥对：

$ openssl rsa -in query.pem -pubout -outform DER | openssl md5 -c
writing RSA key
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

（上面输出中编辑的指纹）

这是一种无需您在本地创建公用密钥文件即可执行所需操作的衬板。

$ ssh-keygen -lf /dev/stdin <<< $( ssh-keygen -f ~/.ssh/keyname.pem -y )
2048 14:df:c7:b7:f1:26:7f:87:d5:e7:10:6c:ac:af:a2:03 /dev/stdin (RSA)

它使用bash here字符串<<<来使stdin可以作为常规文件（/dev/stdin）使用，而不是ssh-keygen仅用于文件操作的管道。

从opensh 7.2版本开始， ssh-keygen支持来自标准输入的指纹识别：

• ssh-keygen（1）：允许来自标准输入的指纹识别，例如“ ssh-keygen -lf-”

请注意，此命令将与使用密码短语且未使用代理的私钥中断。它应与不使用密码短语的AWS或OpenStack生成的pem文件一起使用。

有关更多信息，请参见https://stackoverflow.com/questions/2635360/ssh-keygen-accepting-stdin。

您不是从私钥文件中获取指纹，而是从公钥文件中获取指纹。

实际上，ssh-keygen已经告诉您了这一点：

./query.pem不是公共密钥文件。

针对密钥的公共部分运行它，它应该起作用。

一般而言

考虑一下：存在指纹的原因是您可以识别公钥。实际上，除了对服务器无用之外，获取私钥的哈希是一个潜在的安全问题（甚至没有问题的私钥）。

拥有公钥后，该过程将验证客户端是否拥有相应的私钥。由于您已经知道要尝试验证的密钥，因此不需要指纹。