PEM sshキーの指紋

実行中のssh-agentに追加するPEMファイルがあります。

$ file query.pem
query.pem: PEM RSA private key

$ ssh-add ./query.pem
Identity added: ./query.pem (./query.pem)

$ ssh-add -l | grep query
2048 ef:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX:XX ./query.pem (RSA)

ファイルから直接キーの指紋（ssh-agentに表示されます）を取得するにはどうすればよいですか？ssh-keygen -l -f some_key「通常の」sshキーで機能することは知っていますが、PEMファイルでは機能しません。

.pemファイルでssh-keygenを試してみると、次のようになります。

$ ssh-keygen -l -f ./query.pem                                             
key_read: uudecode PRIVATE KEY----- failed
key_read: uudecode PRIVATE KEY----- failed
./query.pem is not a public key file.

このキーは次で始まります：

-----BEGIN RSA PRIVATE KEY-----
MIIEp.... etc.

「通常の」秘密鍵とは対照的に、次のようになります。

-----BEGIN RSA PRIVATE KEY-----
Proc-Type: 4,ENCRYPTED
DEK-Info: AES-128-CBC,E15F2.... etc.

紛失した公開鍵ファイルの指紋を取得したい場合は、秘密鍵ファイルから回復できます：

$ ssh-keygen -yf path/to/private_key_file > path/to/store/public_key_file

次に、パブリックフィンガープリントを確認できます。

$ ssh-keygen -lf path/to/store/public_key_file
2048 SHA256:XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX user@host (RSA)

一部の新しいシステムでは、これによりキーのSHA256フィンガープリントが出力されます。optionを使用して、キーのMD5フィンガープリント（コロン形式）を印刷できます-E。

$ ssh-keygen -E md5 -lf path/to/store/public_key_file
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

または、1つのコマンドラインとして：

$ ssh-keygen -yf /etc/ssh/ssh_host_ecdsa_key | ssh-keygen -E md5 -lf -
2048 MD5:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx user@host (RSA)

AWSの「キーペアの指紋の検証」は、キーの作成方法に応じて、問題を解決する2つのワンライナーを提供します。

AWSを使用してキーペアを作成した場合：

$ openssl pkcs8 -in query.pem -inform PEM -outform DER -topk8 -nocrypt | openssl sha1 -c
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

または、サードパーティのツールを使用してキーペアを作成した場合：

$ openssl rsa -in query.pem -pubout -outform DER | openssl md5 -c
writing RSA key
xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

（上の出力で指紋が編集されています）

これは、公開キーファイルをローカルで作成することなく、必要な処理を実行する1つのライナーです。

$ ssh-keygen -lf /dev/stdin <<< $( ssh-keygen -f ~/.ssh/keyname.pem -y )
2048 14:df:c7:b7:f1:26:7f:87:d5:e7:10:6c:ac:af:a2:03 /dev/stdin (RSA)

これは、<<<ファイルでのみ動作/dev/stdinするパイプではなく、通常のファイル（）としてstdinを使用できるようにするために、bash here文字列を使用しssh-keygenます。

openssh のリリース7.2では、ssh-keygen標準入力からのフィンガープリントをサポートしています。

• ssh-keygen（1）：標準入力からのフィンガープリントを許可します（例： "ssh-keygen -lf-"）

このコマンドは、パスフレーズを使用し、エージェントを使用していない秘密鍵で中断することに注意してください。パスフレーズを使用しないAWSまたはOpenStackによって生成されたpemファイルで動作するはずです。

詳細については、https：//stackoverflow.com/questions/2635360/ssh-keygen-accepting-stdinを参照してください。

秘密鍵ファイルからではなく、公開鍵ファイルから指紋を取得します。

実際、ssh-keygenはすでにあなたにこう言っています：

./query.pemは公開鍵ファイルではありません。

キーの公開半分に対して実行すると、動作するはずです。

より一般的に言えば

考えてみてください。指紋が存在する理由は、公開鍵を特定できるからです。実際、秘密鍵のハッシュを取得することは、サーバーにとって役に立たないことに加えて、潜在的なセキュリティ問題です（問題の秘密鍵さえ持っていません）。

公開鍵を取得したら、プロセスは、クライアントが対応する秘密の半分を保持していることを確認することです。確認しようとしているキーが既にわかっているので、指紋は必要ありません。