dsa ainda suportado por ssh?

Question

Eu tenho uma antiga chave id_dsa ssh que eu gostaria de manter para o ssh sem senha em minhas máquinas de teste, mas recentemente ela parou de funcionar para o ssh. "Recentemente" inclui a atualização do SuSE Leap 42.2 - > 42,3 - > 15,0. Minha pergunta é se o seguinte é um erro do meu lado, um bug ou pretendido:

b@e:~> openssl version
OpenSSL 1.1.0h-fips  27 Mar 2018
b@e:~> ssh-keygen -tdsa -f id_dsa_test
Generating public/private dsa key pair.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in id_dsa_test.
Your public key has been saved in id_dsa_test.pub.
The key fingerprint is:
SHA256:6FAgJTbbKgccBg06364z2ATph0Zs+8rsmda7njArnk8 b@e
The key's randomart image is:
+---[DSA 1024]----+
|+==.o            |
...
|=.%+.            |
|=@=Oo            |
+----[SHA256]-----+
b@e:~> openssl dsa -text -noout -in id_dsa_test
read DSA key
Private-Key: (1024 bit)
priv:
    10:dd:1f:...
    aa:af:5b:ad:06
pub: 
    22:c4:ff:...
    52:70:4d:8b:4d:cf:ca:53:2f
Q:   
    00:82:6f:...
    5e:1c:20:03:3d:6b
G:   
    4d:18:15:...
    43:8e:d5:1f:7f:59:f7:e6

Até agora, tudo bem, mas:

b@e:~> ssh-keygen -Lf id_dsa_test
id_dsa_test:1: invalid key: invalid format
id_dsa_test:2: invalid key: invalid format
id_dsa_test:3: invalid key: invalid format
id_dsa_test:4: invalid key: invalid format
id_dsa_test:5: invalid key: invalid format
id_dsa_test:6: invalid key: invalid format
id_dsa_test:7: invalid key: invalid format
id_dsa_test:8: invalid key: invalid format
id_dsa_test:9: invalid key: invalid format
id_dsa_test:10: invalid key: invalid format
id_dsa_test:11: invalid key: invalid format
id_dsa_test:12: invalid key: invalid format

E o ssh sempre recorre à autenticação por senha, não importa se eu uso o original ou o certificado recém-criado ...

    

Answer 1

A opção -L para ssh-keygen é destinada a certificados OpenSSH, não a chaves simples. Tente usar ssh-keygen -lf id_dsa_test , que deve produzir a saída esperada.

Além disso, o suporte para o DSA está obsoleto, como você descobriu. Por enquanto, você precisa fazer atualizações explicitamente para continuar a suportar o DSA, mas em algum momento, o OpenSSH está planejando remover totalmente o suporte para esses tipos de chaves.

Você provavelmente deve atualizar seu arquivo ssh_config para usar "PubkeyAcceptedKeyTypes + ssh-dss" para que ele adicione o tipo de chave de volta à lista padrão, em vez de substituí-lo por uma lista que contenha apenas ssh-dss. Isto é especialmente verdadeiro se isso foi adicionado ao / etc / ssh_config, e não ao ~ / .ssh / config (sob um bloco Host).

Veja link