Преобразование ключа pem в формат ssh-rsa

146

У меня есть сертификат в derформате, из него с помощью этой команды я генерирую открытый ключ:

openssl x509 -inform der -in ejbcacert.cer -noout -pubkey > pub1key.pub

Что приводит к следующему:

-----BEGIN PUBLIC KEY-----
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC7vbqajDw4o6gJy8UtmIbkcpnk
O3Kwc4qsEnSZp/TR+fQi62F79RHWmwKOtFmwteURgLbj7D/WGuNLGOfa/2vse3G2
eHnHl5CB8ruRX9fBl/KgwCVr2JaEuUm66bBQeP5XeBotdR4cvX38uPYivCDdPjJ1
QWPdspTBKcxeFbccDwIDAQAB
-----END PUBLIC KEY-----

Как я могу получить такой открытый ключ? Либо из сертификата, либо из этого открытого ключа?

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAAAgQC7vbqajDw4o6gJy8UtmIbkcpnkO3Kwc4qsEnSZp/TR+fQi62F79RHWmwKOtFmwteURgLbj7D/WGuNLGOfa/2vse3G2eHnHl5CB8ruRX9fBl/KgwCVr2JaEuUm66bBQeP5XeBotdR4cvX38uPYivCDdPjJ1QWPdspTBKcxeFbccDw==

Это было получено с помощью этой команды:

ssh-keygen -y -f private_key1.pem > public_key1.pub
Адрия
источник
14
То, как вы написали в разделе «Это было получено с помощью этой команды», сработало для меня лучше, чем любой из приведенных ниже ответов.
Йоав Шапира
7
@YoavShipra. Да, но весь вопрос в том, что он хочет конвертировать, используя только открытый ключ. Возможно, у него нет закрытого ключа, и у него есть только открытый ключ, и он хочет преобразовать из формата PEM в формат ssh-rsa.
deltamind106,
10
Учитывая .pem от AWS, команда, которую вы дали выше, ssh-keygen -y -f private_key1.pem > public_key1.pubотлично поработала для меня.
Kzqai
1
Все неправильные ответы. Это правильный: ssh-keygen -i -m PKCS8 -f public-key.pem
Boeboe
3
Красота в глазах смотрящего . Мы должны отметить, что pem- ключ может содержать либо открытый ключ, либо закрытый ключ, либо оба; зашифрованный или, может быть, нет; плюс с различным форматом. Также значение параметра -mотличается для -i/ -e. Итак, друзья мои, пожалуйста, убедитесь, что вы знаете, чего хотите и что у вас есть . :-)
ryenus 04

Ответы:

135

Не нужно компилировать. Вы можете сделать то же самое с ssh-keygen:

ssh-keygen -f pub1key.pub -i

будет читать открытый ключ в формате openssl pub1key.pubи выводить его в формате OpenSSH.

Примечание . В некоторых случаях потребуется указать формат ввода:

ssh-keygen -f pub1key.pub -i -mPKCS8

Из документации ssh-keygen (От человека ssh-keygen):

-m key_format Укажите формат ключа для параметров преобразования -i (импорт) или -e (экспорт). Поддерживаемые форматы ключей: «RFC4716» (открытый или закрытый ключ RFC 4716 / SSH2), «PKCS8» (открытый ключ PEM PKCS8) или «PEM» (открытый ключ PEM). Формат преобразования по умолчанию - «RFC4716».

Виктор Матаре
источник
3
ssh-keygen: незаконная опция - m
mbonnin
1
Вопрос в другом.
131
4
Для будущих поисковиков, если это не сработает для вас, комментарии в исходном вопросе сработали для меня.
Кристополус
18
В моем случае это -m PKCS8было необходимо
Ян Хантер
1
$ ssh-keygen -f mykey.pub -i key_from_blob: invalid format decode blob failed.
Bastian Voigt
55

Никаких скриптов и других «уловок»: opensslи этого ssh-keygenдостаточно. Я не предполагаю, что пароль для ключей (что плохо).

Создайте пару RSA

Все следующие методы дают пару ключей RSA в том же формате.

  1. С openssl ( man genrsa )

    openssl genrsa -out dummy-genrsa.pem 2048
    

    В OpenSSL v1.0.1 genrsa заменен на genpkeyтак это новый способ сделать это ( человек genpkey ):

    openssl genpkey -algorithm RSA -out dummy-genpkey.pem -pkeyopt rsa_keygen_bits:2048
    
  2. С ssh-keygen

    ssh-keygen -t rsa -b 2048 -f dummy-ssh-keygen.pem -N '' -C "Test Key"
    

Преобразование DER в PEM

Если у вас есть пара ключей RSA в формате DER, вы можете преобразовать ее в PEM, чтобы разрешить преобразование формата ниже:

Поколение:

openssl genpkey -algorithm RSA -out genpkey-dummy.cer -outform DER -pkeyopt rsa_keygen_bits:2048

Конверсия:

openssl rsa -inform DER -outform PEM -in genpkey-dummy.cer -out dummy-der2pem.pem

Извлеките открытый ключ из пары RSA в формате PEM

  1. в формате PEM:

    openssl rsa -in dummy-xxx.pem -pubout
    
  2. в формате OpenSSH v2 см . :

    ssh-keygen -y -f dummy-xxx.pem
    

Примечания

Версия ОС и ПО:

[user@test1 ~]# cat /etc/redhat-release ; uname -a ; openssl version
CentOS release 6.5 (Final)
Linux test1.example.local 2.6.32-431.el6.x86_64 #1 SMP Fri Nov 22 03:15:09 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux
OpenSSL 1.0.1e-fips 11 Feb 2013

Ссылки:

Томас
источник
//, действительно ли это генерирует ключ в ssh-rsaформате? Хорошая ссылка, кстати.
Натан Басанезе
@NathanBasanese, да (см «Извлечение открытого ключа из П отформатированного RSA пару», пункт 2): когда один имеет сертификат в формате PEM: ssh-keygen -y -f dummy-xxx.pemпроизводит ssh-rsa AAAA[...]==подгонку для SSH в authorized_keysфайл.
Thomas
Хорошая информативная статья ... но я не думаю, что она действительно отвечает на вопрос, а также гораздо более короткая статья выше.
Ogre Codes
23

Чтобы ответить на свой вопрос, после публикации в списке рассылки openssl получил следующее:

Вот код C для преобразования открытого ключа OpenSSL в открытый ключ OpenSSH. Вы можете взять код по этой ссылке и скомпилировать его самостоятельно:

static unsigned char pSshHeader[11] = { 0x00, 0x00, 0x00, 0x07, 0x73, 0x73, 0x68, 0x2D, 0x72, 0x73, 0x61};

static int SshEncodeBuffer(unsigned char *pEncoding, int bufferLen, unsigned char* pBuffer)
{
   int adjustedLen = bufferLen, index;
   if (*pBuffer & 0x80)
   {
      adjustedLen++;
      pEncoding[4] = 0;
      index = 5;
   }
   else
   {
      index = 4;
   }
   pEncoding[0] = (unsigned char) (adjustedLen >> 24);
   pEncoding[1] = (unsigned char) (adjustedLen >> 16);
   pEncoding[2] = (unsigned char) (adjustedLen >>  8);
   pEncoding[3] = (unsigned char) (adjustedLen      );
   memcpy(&pEncoding[index], pBuffer, bufferLen);
   return index + bufferLen;
}

int main(int argc, char**  argv)
{
   int iRet = 0;
   int nLen = 0, eLen = 0;
   int encodingLength = 0;
   int index = 0;
   unsigned char *nBytes = NULL, *eBytes = NULL;
   unsigned char* pEncoding = NULL;
   FILE* pFile = NULL;
   EVP_PKEY *pPubKey = NULL;
   RSA* pRsa = NULL;
   BIO *bio, *b64;

   ERR_load_crypto_strings(); 
   OpenSSL_add_all_algorithms();

   if (argc != 3)
   {
      printf("usage: %s public_key_file_name ssh_key_description\n", argv[0]);
      iRet = 1;
      goto error;
   }

   pFile = fopen(argv[1], "rt");
   if (!pFile)
   {
      printf("Failed to open the given file\n");
      iRet = 2;
      goto error;
   }

   pPubKey = PEM_read_PUBKEY(pFile, NULL, NULL, NULL);
   if (!pPubKey)
   {
      printf("Unable to decode public key from the given file: %s\n", ERR_error_string(ERR_get_error(), NULL));
      iRet = 3;
      goto error;
   }

   if (EVP_PKEY_type(pPubKey->type) != EVP_PKEY_RSA)
   {
      printf("Only RSA public keys are currently supported\n");
      iRet = 4;
      goto error;
   }

   pRsa = EVP_PKEY_get1_RSA(pPubKey);
   if (!pRsa)
   {
      printf("Failed to get RSA public key : %s\n", ERR_error_string(ERR_get_error(), NULL));
      iRet = 5;
      goto error;
   }

   // reading the modulus
   nLen = BN_num_bytes(pRsa->n);
   nBytes = (unsigned char*) malloc(nLen);
   BN_bn2bin(pRsa->n, nBytes);

   // reading the public exponent
   eLen = BN_num_bytes(pRsa->e);
   eBytes = (unsigned char*) malloc(eLen);
   BN_bn2bin(pRsa->e, eBytes);

   encodingLength = 11 + 4 + eLen + 4 + nLen;
   // correct depending on the MSB of e and N
   if (eBytes[0] & 0x80)
      encodingLength++;
   if (nBytes[0] & 0x80)
      encodingLength++;

   pEncoding = (unsigned char*) malloc(encodingLength);
   memcpy(pEncoding, pSshHeader, 11);

   index = SshEncodeBuffer(&pEncoding[11], eLen, eBytes);
   index = SshEncodeBuffer(&pEncoding[11 + index], nLen, nBytes);

   b64 = BIO_new(BIO_f_base64());
   BIO_set_flags(b64, BIO_FLAGS_BASE64_NO_NL);
   bio = BIO_new_fp(stdout, BIO_NOCLOSE);
   BIO_printf(bio, "ssh-rsa ");
   bio = BIO_push(b64, bio);
   BIO_write(bio, pEncoding, encodingLength);
   BIO_flush(bio);
   bio = BIO_pop(b64);
   BIO_printf(bio, " %s\n", argv[2]);
   BIO_flush(bio);
   BIO_free_all(bio);
   BIO_free(b64);

error:
   if (pFile)
      fclose(pFile);
   if (pRsa)
      RSA_free(pRsa);
   if (pPubKey)
      EVP_PKEY_free(pPubKey);
   if (nBytes)
      free(nBytes);
   if (eBytes)
      free(eBytes);
   if (pEncoding)
      free(pEncoding);

   EVP_cleanup();
   ERR_free_strings();
   return iRet;
}
Адрия
источник
2
Если кому-то интересно, как это скомпилировать (я был), вот вызов компилятора: gcc -o pubkey2ssh pubkey2ssh.c -lcrypto
Андреас Гор
где же на прибудете ARGV [2] (ssh_key_description) от ... Я просто есть ----- НАЧАТЬ RSA PUBLIC KEY ----- MIGJAoGBAMC62xWiOZYlhUhmk + JESy5eZunwGoG9kSHUMn67iBNZLEsR2qN44J1B TOtZRuEsSAKxu7alFlJVu5aSGbUvin3DusYAsl5sZjTf9VZgJHsVycOrtChC1tUi WMAWfv2BLTmK4zBEC33riEBLeX8Trphp3YbIMtzqV81ZrzHZbSnrAgMBAAE = ----- END RSA PUBLIC KEY-- --- у него нет описания
braden
@braden. Обычно это просто адрес электронной почты владельца ключа. Но вы можете поместить в описание все, что захотите.
deltamind106,
Opensshtopem реализация PHP здесь github.com/131/yks/blob/master/class/stds/crypt.php#L346
131
Ответ от @mkalkov ниже выполняет преобразование с использованием инструментов командной строки Linux. Ему просто нужен pem-файл с открытым ключом с удаленными заголовками и объединенными строками в качестве входных данных.
alexandroid
13
ssh-keygen -i -m PKCS8 -f public-key.pem
Boeboe
источник
4
У меня не сработало: «do_convert_from_pkcs8: key.pem не является распознанным форматом открытого ключа». То, что действительно работало, было "ssh-keygen -y -f key.pem", которое распечатывает текст ssh-rsa, необходимый для authorized_keys.
Курт,
1
Это не работаетdo_convert_from_pkcs8: TEST.pem is not a recognised public key format
Джинна Балу
Работал у меня после openssl genrsa -out newkey.pem 2048иopenssl rsa -in newkey.pem -outform PEM -pubout -out newkeypublic.pem
xirix
6

Я сделал с

ssh-keygen -i -f $ sshkeysfile >> authorized_keys

Кредит идет сюда

периклис
источник
1
Почему вы не поверили Виктору выше? Он дал вам ту же команду почти 8 месяцев назад.
jww
1
@jww Из журнала редактирования ответа Виктора вы можете увидеть, что изначально ответ был немного другим, я предполагаю, что это причина
периклис
4

Следующий скрипт получит сертификат открытого ключа ci.jenkins-ci.org в формате DER в кодировке base64 и преобразует его в файл открытого ключа OpenSSH. Этот код предполагает, что используется 2048-битный ключ RSA, и многое заимствует из этого ответа Яна Бойда . Я объяснил немного больше, как это работает, в комментариях к этой статье в вики Jenkins.

echo -n "ssh-rsa " > jenkins.pub
curl -sfI https://ci.jenkins-ci.org/ | grep X-Instance-Identity | tr -d \\r | cut -d\  -f2 | base64 -d | dd bs=1 skip=32 count=257 status=none | xxd -p -c257 | sed s/^/00000007\ 7373682d727361\ 00000003\ 010001\ 00000101\ / | xxd -p -r | base64 -w0 >> jenkins.pub
echo >> jenkins.pub
Мкалков
источник
Боже мой, это лучший ответ! И это работает! (Мне нужно было только заменить status = none на status = noxfer). Просто используйте вторую команду, начинающуюся с «base64», и дайте ей на входе файл PEM с удаленными заголовками и объединением всех строк в одну. Спасибо @mkalkov!
alexandroid
Обратите внимание, что приведенные выше команды предполагают 2048-битный ключ и не будут работать правильно, если задан ключ другого размера.
alexandroid
1

FWIW, этот сценарий BASH примет сертификат X.509 в формате PEM или DER или файл открытого ключа OpenSSL (также формат PEM) в качестве первого аргумента и выдаст открытый ключ OpenSSH RSA. Это расширяет ответ @mkalkov выше. Требования cat, grep, tr, dd, xxd, sed, xargs, file, uuidgen, base64, openssl(1.0+), и, конечно же bash. Все, кроме openssl(contains base64), в значительной степени гарантированно будут частью базовой установки в любой современной системе Linux, за исключением, возможно, xxd(который Fedora показывает в vim-commonпакете). Если кто-то хочет очистить его и сделать лучше, будьте осторожны, lector.

#!/bin/bash
#
# Extract a valid SSH format public key from an X509 public certificate.
#

# Variables:
pubFile=$1
fileType="no"
pkEightTypeFile="$pubFile"
tmpFile="/tmp/`uuidgen`-pkEightTypeFile.pk8"

# See if a file was passed:
[ ! -f "$pubFile" ] && echo "Error, bad or no input file $pubFile." && exit 1

# If it is a PEM format X.509 public cert, set $fileType appropriately:
pemCertType="X$(file $pubFile | grep 'PEM certificate')"
[ "$pemCertType" != "X" ] && fileType="PEM"

# If it is an OpenSSL PEM-format PKCS#8-style public key, set $fileType appropriately:
pkEightType="X$(grep -e '-BEGIN PUBLIC KEY-' $pubFile)"
[ "$pkEightType" != "X" ] && fileType="PKCS"

# If this is a file we can't recognise, try to decode a (binary) DER-format X.509 cert:
if [ "$fileType" = "no" ]; then
        openssl x509 -in $pubFile -inform DER -noout
        derResult=$(echo $?)
        [ "$derResult" = "0" ] && fileType="DER"
fi

# Exit if not detected as a file we can use:
[ "$fileType" = "no" ] && echo "Error, input file not of type X.509 public certificate or OpenSSL PKCS#8-style public key (not encrypted)." && exit 1

# Convert the X.509 public cert to an OpenSSL PEM-format PKCS#8-style public key:
if [ "$fileType" = "PEM" -o "$fileType" = "DER" ]; then
        openssl x509 -in $pubFile -inform $fileType -noout -pubkey > $tmpFile
        pkEightTypeFile="$tmpFile"
fi

# Build the string:
# Front matter:
frontString="$(echo -en 'ssh-rsa ')"

# Encoded modulus and exponent, with appropriate pointers:
encodedModulus="$(cat $pkEightTypeFile | grep -v -e "----" | tr -d '\n' | base64 -d | dd bs=1 skip=32 count=257 status=none | xxd -p -c257 | sed s/^/00000007\ 7373682d727361\ 00000003\ 010001\ 00000101\ / | xxd -p -r | base64 -w0 )"

# Add a comment string based on the filename, just to be nice:
commentString=" $(echo $pubFile | xargs basename | sed -e 's/\.crt\|\.cer\|\.pem\|\.pk8\|\.der//')"

# Give the user a string:
echo $frontString $encodedModulus $commentString

# cleanup:
rm -f $tmpFile
db_
источник