如何使用 python 复制 ssh-keygen 的功能

Posted 2023-03-23

技术标签:

【中文标题】如何使用 python 复制 ssh-keygen 的功能【英文标题】：How to replicate the functionality of ssh-keygen using python 【发布时间】：2019-11-20 12:20:53 【问题描述】：

我需要生成一个用于 SFTP 身份验证的 RSA 密钥对。 SFTP 使用 OpenSSH，根据其 IETF 规范，密钥应该只能由 ssh-keygen 生成。 https://www.openssh.com/specs.html

但是，对于我当前的项目，我不能依赖像 ssh-keygen 这样的外部程序，即使通过 python 的 subprocess 模块之类的东西执行。这与部署环境的细节有关。无论如何，由于某种原因，我使用 python 的加密模块生成的密钥虽然看起来正确，但在 SFTP 登录期间被拒绝。

我不知道是什么让 ssh-keygen 密钥如此特别。我怀疑它要么与密钥大小/长度或公共指数等参数有关，要么可能是由于字符编码问题。

这是生成密钥的代码

from cryptography.hazmat.primitives import serialization as crypto_serialization
from cryptography.hazmat.primitives.asymmetric import rsa
from cryptography.hazmat.backends import default_backend as crypto_default_backend

key = rsa.generate_private_key(
    backend=crypto_default_backend(), public_exponent=65537, key_size=2048)
private_key = key.private_bytes(
    crypto_serialization.Encoding.PEM, crypto_serialization.PrivateFormat.PKCS8, crypto_serialization.NoEncryption()).decode("utf-8")
public_key = key.public_key().public_bytes(
    crypto_serialization.Encoding.OpenSSH, crypto_serialization.PublicFormat.OpenSSH).decode("utf-8")
print(public_key)
print(private_key)

以下是 sftp 接受的 ssh-keygen 生成的密钥。

公钥：

（我修改了user@machine_name 部分，但我高度怀疑这是否相关，因为当我将公钥部署到 sftp 服务器时，我实际上是在剥离这部分）

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDWe1fmzvKHYu90YbGiDVD/k+Jj6OgQLUuleTIkAiljrN+Z6RTF9xK6bk5uEquB5TBWvl/i9kh8blCjkxnKI8ivvBZiX6ubuRraEtkmRR+/UmxHehKwE40eAtbFjY6q69PpNBg+iM7nXrTHK1vmD5VY8KsflfKBmS628V0QxxgQTdi/irb4AZLBqR7lAnanB15envtMBxoesoA6Duaj47TftzDP2j8iX7Jgj+WZqB85aqggbxUfV0kDVj9YbSuZk9ccA3udRlMpH2k1aiMemF0zB2jHXHPHTE+0sIoX0J331+yzWR+iJXwZeEdRREmeTc8FJN2/Rq1lLH87NPkB4uhH user@machine_name

私钥：

下面是我的程序的输出

公钥：

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDr0tbRIlabQr6xPudI3Gz9qN7hIeKhMdrxiKzXsgfBElRF6htfUebwFTcmRrPeb0mN+wCdcrnAF+iG+cYvpjhX6mQa+rBV79kiUZJg3n/BfjiMBko9q6QDrpOfNdKElnGVqBcTFSZKyzNfGpOTcpzCxXd76IyUx1MuY2A4MUC/TVBNpJnrEqvJjaAAbtTWDXYmzmApL3m308CH+SV2NKE5dzHNX+NvFeZ2Xlcv5ZRGB6jiUV+HI3QFPeaLJ+xneucc0rCrjF22RHvBFovnInFnIDXdadqsElxAKYviygpZL6ekJJETJhZjGzDNJh0b30OiZS493CDmd7Qb97MfN95/

私钥：

【问题讨论】：

我不知道您从哪里获得第一段中的信息，但这大多是错误的。为什么不直接使用您正在使用的任何 SSH 库来生成密钥？我从那个链接得到了信息你误会了。您在使用 Paramiko 进行 SFTP 吗？没有。我正在使用 aws transfer sftp 服务 【参考方案1】：

OpenSSH ssh-keygen 使用的标头是旧的 PEM 文件：

-----BEGIN RSA PRIVATE KEY-----

您的脚本创建的标头是新的 PKCS#8 PEM 文件，如果您使用一些非标准工具连接到 sftp，它们不完全兼容。

-----BEGIN PRIVATE KEY-----

您可以使用 serialization.TraditionalOpenSSL 参数为您的 private_bytes 函数创建相同的旧 PEM 格式。

【讨论】：

很棒的提示！我更改为

private_key = key.private_bytes(crypto_serialization.Encoding.PEM, crypto_serialization.PrivateFormat.TraditionalOpenSSL, crypto_serialization.NoEncryption()).decode("utf-8")

，输出显示RSA PRIVATE KEY，但它仍然无法正常工作。私钥文件实际上比 rsa-keygen 文件短几个字符其实，我的错，它正在工作。您的解决方案已解决，谢谢！仅供参考：此格式不是旧格式。这种格式是 PKCS #1，在任何地方都广泛使用。 PKCS #8 是另一种具有更多选择的格式。 @JohnHanley 没有什么不能让它成为传统格式，因为有一种被广泛接受作为现代一切事物的替代品。您将您的意见作为事实来表达。 PKCS #1 是标准系列的一部分，是迄今为止最流行的格式。在大多数用例中，PKCS #8 只是包装了 PKCS #1。

以上是关于如何使用 python 复制 ssh-keygen 的功能的主要内容，如果未能解决你的问题，请参考以下文章