我可以使用兩個(gè)文件通過 SSH（使用 openssh 客戶端）連接到我的服務(wù)器：~/.ssh/id_ed25519{,-cert.pub}debug1: Trying private key: /home/xavier/.ssh/id_ed25519 debug1: Authentications that can continue: publickey,keyboard-interactive debug1: Offering ED25519-CERT public key: /home/xavier/.ssh/id_ed25519 debug1: Server accepts key: pkalg ssh-ed25519-cert-v01@openssh.com blen 441 debug1: sign_and_send_pubkey: no separate private key for certificate "/home/xavier/.ssh/id_ed25519"debug1: Authentication succeeded (publickey).我想要一個(gè)做同樣事情的 go 客戶端，但我不知道如何將該文件合并到https://godoc.org/golang.org/x/crypto/ssh#example-PublicKeysid_ed25519-cert.pub的示例中key, err := ioutil.ReadFile("/home/xavier/.ssh/id_ed25519")if err != nil { log.Fatalf("unable to read private key: %v", err)}// Create the Signer for this private key.signer, err := ssh.ParsePrivateKey(key)if err != nil { log.Fatalf("unable to parse private key: %v", err)}config := &ssh.ClientConfig{ User: "user", Auth: []ssh.AuthMethod{ // Use the PublicKeys method for remote authentication. ssh.PublicKeys(signer), },}// Connect to the remote server and perform the SSH handshake.client, err := ssh.Dial("tcp", "host.com:22", config)if err != nil { log.Fatalf("unable to connect: %v", err)}defer client.Close()部分問題是我不知道這個(gè)文件是什么（PublicKey？證書？），部分問題是即使我知道我也不明白它在這個(gè)交換中的作用。我已確認(rèn)此文件是必需的：刪除它會(huì)導(dǎo)致 ssh CLI 失敗。
1 回答
至尊寶的傳說
TA貢獻(xiàn)1789條經(jīng)驗(yàn) 獲得超10個(gè)贊
那是一個(gè)SSH證書文件，用于實(shí)現(xiàn)基于SSH證書的用戶認(rèn)證。這通過檢查公鑰層次結(jié)構(gòu)中受信任的證書頒發(fā)機(jī)構(gòu)的有效簽名來驗(yàn)證用戶登錄的真實(shí)性。與標(biāo)準(zhǔn)的基于 SSH 密鑰的身份驗(yàn)證（使用文件）相比，這種方法具有多種優(yōu)勢(shì)authorized_keys，例如：
控制密鑰文件的發(fā)布（有權(quán)訪問 CA 主密鑰的人必須簽署新證書，而不是用戶發(fā)布自己的證書
ssh-keygen）自動(dòng)密鑰文件到期
添加或輪換證書時(shí)減少管理開銷，因?yàn)橹恍枰?CA 的公鑰來驗(yàn)證證書；不再需要
authorized_keys為每個(gè)主機(jī)上的每個(gè)用戶填充一個(gè)文件當(dāng)與用戶的關(guān)系發(fā)生變化時(shí)，為證書吊銷提供更簡(jiǎn)單的支持
假設(shè)您使用的是內(nèi)置golang.org/x/crypto/ssh庫，您可以通過以下方式實(shí)現(xiàn)：
讀入并解析您簽名的公鑰證書和私鑰
從私鑰創(chuàng)建簽名者
使用讀入的公鑰和相應(yīng)的私鑰簽名者創(chuàng)建證書簽名者
OpenSSH 公鑰證書的指定格式類似于文件authorized_keys。ParseAuthorizedKeysGo庫的函數(shù)會(huì)解析這個(gè)文件，將對(duì)應(yīng)的key作為接口實(shí)例返回ssh.PublicKey；對(duì)于證書，這具體是結(jié)構(gòu)的一個(gè)實(shí)例ssh.Certificate。
請(qǐng)參閱代碼示例（注意：我HostKeyCallback在您的代碼中添加了一個(gè)ClientConfig以實(shí)現(xiàn)與測(cè)試盒的連接——但是，它使用了InsecureIgnoreHostKey檢查器，我不建議在生產(chǎn)中使用它?。?/p>
package main
import (
? ? "bytes"
? ? "io/ioutil"
? ? "log"
? ? "golang.org/x/crypto/ssh"
)
func main() {
? ? key, err := ioutil.ReadFile("/tmp/mycert")
? ? if err != nil {
? ? ? ? log.Fatalf("unable to read private key: %v", err)
? ? }
? ? // Create the Signer for this private key.
? ? signer, err := ssh.ParsePrivateKey(key)
? ? if err != nil {
? ? ? ? log.Fatalf("unable to parse private key: %v", err)
? ? }
? ? // Load the certificate
? ? cert, err := ioutil.ReadFile("/tmp/mycert-cert.pub")
? ? if err != nil {
? ? ? ? log.Fatalf("unable to read certificate file: %v", err)
? ? }
? ? pk, _, _, _, err := ssh.ParseAuthorizedKey(cert)
? ? if err != nil {
? ? ? ? log.Fatalf("unable to parse public key: %v", err)
? ? }
? ? certSigner, err := ssh.NewCertSigner(pk.(*ssh.Certificate), signer)
? ? if err != nil {
? ? ? ? log.Fatalf("failed to create cert signer: %v", err)
? ? }
? ? config := &ssh.ClientConfig{
? ? ? ? User: "user",
? ? ? ? Auth: []ssh.AuthMethod{
? ? ? ? ? ? // Use the PublicKeys method for remote authentication.
? ? ? ? ? ? ssh.PublicKeys(certSigner),
? ? ? ? },
? ? ? ? HostKeyCallback: ssh.InsecureIgnoreHostKey(),
? ? }
? ? // Connect to the remote server and perform the SSH handshake.
? ? client, err := ssh.Dial("tcp", "host.com:22", config)
? ? if err != nil {
? ? ? ? log.Fatalf("unable to connect: %v", err)
? ? }
? ? defer client.Close()
}
如果您想編寫一個(gè)更通用的支持證書和非證書的連接客戶端，您顯然需要額外的邏輯來處理其他類型的公鑰。如所寫，我希望pk.(*ssh.Certificate)非證書公鑰文件的類型斷言失?。。▽?shí)際上，對(duì)于非證書連接，您可能根本不需要讀取公鑰。）
- 1 回答
- 0 關(guān)注
- 192 瀏覽
添加回答
舉報(bào)
0/150
提交
取消