SSH-Schlüssel-Fingerabdruck (SHA256 und MD5)

So erhalten Sie einen SSH-Schlüssel-Fingerabdruck

1. Fügen Sie eine oder mehrere Zeilen mit öffentlichen Schlüsseln in SSH-Schlüssel ein, oder legen Sie eine .pub-, authorized_keys- oder known_hosts-Datei ab.
2. Jeder Schlüssel bekommt eine Karte mit Typ, Größe oder Kurve, Kommentar, SHA256- und MD5-Fingerabdruck und der exakten Zeile von ssh-keygen -l.
3. Wählen Sie, was im Feld Ausgabe steht: SHA256-Fingerabdrücke, MD5-Fingerabdrücke, ein öffentlicher PEM-Schlüssel (SPKI oder PKCS#1), RFC 4716 oder normalisierte OpenSSH-Zeilen.
4. Ausgabe kopieren oder Herunterladen. Fingerabdruck kopieren auf einer Karte kopiert nur diesen einen Wert.

Akzeptiert wird mehr als einfache .pub-Zeilen: authorized_keys-Optionen wie from="10.0.0.0/8",command="…", known_hosts-Zeilen mit Hostnamen oder gehashten |1|…-Einträgen, RFC-4716-Blöcke ---- BEGIN SSH2 PUBLIC KEY ----, OpenSSH-Zertifikate, öffentliche PEM-Schlüssel und Dateien -----BEGIN OPENSSH PRIVATE KEY-----.

Wie der Fingerabdruck berechnet wird

Eine OpenSSH-Zeile mit öffentlichem Schlüssel hat drei Teile: den Typ, den Base64-Schlüssel-Blob und einen Kommentar.

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIG4ZlfvPsoxxd6tpkc1MDAJvZf8exJSDeW7a3xQRKA7d alice@laptop

Der Fingerabdruck ist ein Hash des dekodierten Blobs, bei Ed25519 51 Bytes:

SHA256-Fingerabdrücke werden in Base64 ohne das abschließende = geschrieben, deshalb haben sie nach dem Präfix immer 43 Zeichen. Dieselbe Berechnung in Python:

import base64, hashlib, sys

line = open(sys.argv[1]).read().split()
blob = base64.b64decode(line[1])
digest = hashlib.sha256(blob).digest()
print("SHA256:" + base64.b64encode(digest).decode().rstrip("="))

Warum das = wegfallen darf, steht unter Padding erklärt, mehr unter Base64 in Python.

Einen Host-Schlüssel prüfen, bevor Sie ihm vertrauen

Bei der ersten Verbindung fragt OpenSSH: ED25519 key fingerprint is SHA256:…. Are you sure you want to continue connecting? Die richtige Antwort hängt davon ab, diesen Wert mit einem auf anderem Weg beschafften zu vergleichen:

• auf der Server-Konsole: ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
• aus den veröffentlichten Host-Key-Fingerabdrücken Ihres Anbieters
• von einer Kollegin oder einem Kollegen, die den Host schon in known_hosts haben: Fügen Sie diese Datei hier ein, und jeder Eintrag wird mit seinem Fingerabdruck aufgelistet

Um zu sehen, was ein Server anbietet, ohne sich anzumelden, gibt ssh-keyscan host.example.com | ssh-keygen -lf - alle Fingerabdrücke seiner Host-Schlüssel aus.

Schlüsseltypen am Base64 erkennen

Der Blob beginnt mit dem Schlüsseltyp als String mit Längenpräfix, daher hat jeder Typ einen festen Base64-Anfang:

Widersprechen sich das Typwort in der Zeile und der Blob, warnt die Karte vor der Abweichung. Das bedeutet meist, dass eine Zeile von Hand bearbeitet wurde.

Warnungen und Grenzen

• RSA unter 2048 Bit wird als schwach markiert, und DSA-Schlüssel werden markiert, weil aktuelles OpenSSH sie deaktiviert.
• Zertifikate (*-cert-v01@openssh.com) zeigen Schlüssel-ID, Seriennummer, Benutzer- oder Host-Typ, Principals, Gültigkeit, kritische Optionen, Erweiterungen und den Fingerabdruck des signierenden CA-Schlüssels.
• FIDO-Schlüssel (sk-…) und Ed448 werden dekodiert, lassen sich aber nicht in PEM umwandeln.
• Der Kommentar, der in einer privaten Schlüsseldatei gespeichert ist, wird nicht angezeigt.
• SHA256 verwendet die WebCrypto-API des Browsers, die eine https-Seite voraussetzt. MD5 berechnet die Seite selbst.

Häufige Fragen