Huella de clave SSH (SHA256 y MD5)

Cómo obtener la huella de una clave SSH

1. Pega una o varias líneas de clave pública en Claves SSH, o suelta un archivo .pub, authorized_keys o known_hosts.
2. Cada clave tiene una tarjeta con el tipo, el tamaño o la curva, el comentario, las huellas SHA256 y MD5 y la línea exacta de ssh-keygen -l.
3. Elige qué contiene el panel Salida: huellas SHA256, huellas MD5, una clave pública PEM (SPKI o PKCS#1), RFC 4716 o líneas OpenSSH normalizadas.
4. Usa Copiar salida o Descargar con el resultado. Copiar huella en una tarjeta copia solo ese valor.

La entrada admitida va más allá de las líneas .pub simples: opciones de authorized_keys como from="10.0.0.0/8",command="…", líneas de known_hosts con nombres de host o entradas con hash |1|…, bloques RFC 4716 ---- BEGIN SSH2 PUBLIC KEY ----, certificados OpenSSH, claves públicas PEM y archivos -----BEGIN OPENSSH PRIVATE KEY-----.

Cómo se calcula la huella

Una línea de clave pública de OpenSSH tiene tres partes: el tipo, el blob de la clave en Base64 y un comentario.

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIG4ZlfvPsoxxd6tpkc1MDAJvZf8exJSDeW7a3xQRKA7d alice@laptop

La huella es un hash del blob decodificado, 51 bytes en Ed25519:

Las huellas SHA256 se escriben en Base64 sin el = final, por eso siempre tienen 43 caracteres después del prefijo. El mismo cálculo en Python:

import base64, hashlib, sys

line = open(sys.argv[1]).read().split()
blob = base64.b64decode(line[1])
digest = hashlib.sha256(blob).digest()
print("SHA256:" + base64.b64encode(digest).decode().rstrip("="))

Consulta el relleno explicado para saber por qué se puede quitar el =, y Base64 en Python para más.

Comprobar una clave de host antes de confiar en ella

La primera vez que te conectas, OpenSSH pregunta: ED25519 key fingerprint is SHA256:…. Are you sure you want to continue connecting? La respuesta correcta depende de comparar ese valor con otro obtenido por otra vía:

• en la consola del servidor: ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub
• en las huellas de clave de host que publica tu proveedor
• de un compañero que ya tiene el host en known_hosts: pega aquí ese archivo y se listan todas las entradas con su huella

Para ver qué ofrece un servidor sin iniciar sesión, ssh-keyscan host.example.com | ssh-keygen -lf - imprime todas las huellas de sus claves de host.

Reconocer tipos de clave por su Base64

El blob empieza con el tipo de clave como cadena precedida de su longitud, así que cada tipo tiene un comienzo fijo en Base64:

Si la palabra del tipo en la línea y el blob no coinciden, la tarjeta avisa del desajuste. Eso suele significar que alguien editó la línea a mano.

Avisos y límites

• RSA de menos de 2048 bits se marca como débil, y las claves DSA se marcan porque OpenSSH moderno las desactiva.
• Los certificados (*-cert-v01@openssh.com) muestran el ID de clave, el número de serie, el tipo de usuario o host, los principales, la validez, las opciones críticas, las extensiones y la huella de la clave de la CA firmante.
• Las claves FIDO (sk-…) y Ed448 se decodifican, pero no tienen conversión a PEM.
• El comentario guardado dentro de un archivo de clave privada no se muestra.
• SHA256 usa la API WebCrypto del navegador, que necesita una página https. MD5 lo calcula la propia página.

Preguntas frecuentes