ssh-keygen - Online nel cloud

PROGRAMMA:

NOME

ssh-keygen — generazione, gestione e conversione della chiave di autenticazione

SINOSSI

ssh-keygen [-q] [-b bit] [-t dsa | ECDSA | ed25519 | rsa | rsa1] [-N nuova_passphrase]
[-C commento] [-f file_chiave_output]
ssh-keygen -p [-P vecchia_passphrase] [-N nuova_passphrase] [-f file di chiavi]
ssh-keygen -i [-m formato_chiave] [-f input_keyfile]
ssh-keygen -e [-m formato_chiave] [-f input_keyfile]
ssh-keygen -y [-f input_keyfile]
ssh-keygen -c [-P frase d'accesso] [-C commento] [-f file di chiavi]
ssh-keygen -l [-v] [-E finger_hash] [-f input_keyfile]
ssh-keygen -B [-f input_keyfile]
ssh-keygen -D pkcs11
ssh-keygen -F hostname [-f file_host_noti] [-l]
ssh-keygen -H [-f file_host_noti]
ssh-keygen -R hostname [-f file_host_noti]
ssh-keygen -r hostname [-f input_keyfile] [-g]
ssh-keygen -G file di uscita [-v] [-b bit] [-M memoria] [-S punto di partenza]
ssh-keygen -T file di uscita -f file di input [-v] [-a round] [-J num_linee] [-j linea_di_inizio]
[-K checkpt] [-W generatore]
ssh-keygen -s chiave_ca -I identità_certificato [-h] [-n presidi] [-O opzione]
[-V intervallo_validità] [-z numero di serie] filetto ...
ssh-keygen -L [-f input_keyfile]
ssh-keygen -A
ssh-keygen -k -f file_krl [-u] [-s ca_pubblico] [-z numero della versione] filetto ...
ssh-keygen -Q -f file_krl filetto ...

DESCRIZIONE

ssh-keygen genera, gestisce e converte le chiavi di autenticazione per SSH(1). ssh-keygen può
creare chiavi per l'utilizzo da parte del protocollo SSH versioni 1 e 2. Il protocollo 1 non deve essere utilizzato ed è
offerto solo per supportare i dispositivi legacy. Soffre di una serie di crittografia
punti deboli e non supporta molte delle funzionalità avanzate disponibili per il protocollo 2.

Il tipo di chiave da generare è specificato con il -t opzione. Se invocato senza
argomenti, ssh-keygen genererà una chiave RSA da utilizzare nelle connessioni del protocollo SSH 2.

ssh-keygen viene anche utilizzato per generare gruppi da utilizzare nello scambio di gruppo Diffie-Hellman (DH-
GEX). Vedi il MODULI GENERAZIONE sezione per i dettagli.

Infine, ssh-keygen può essere utilizzato per generare e aggiornare elenchi di revoche di chiavi e per testare
se le chiavi fornite sono state revocate da uno. Vedi il KEY REVOCA LISTE sezione per
dettagli.

Normalmente ogni utente che desidera utilizzare SSH con l'autenticazione a chiave pubblica lo esegue una volta per
creare la chiave di autenticazione in ~/.ssh/identità, ~/.ssh/id_dsa, ~/.ssh/id_ecdsa,
~/.ssh/id_ed25519 or ~/.ssh/id_rsa. Inoltre, l'amministratore di sistema può utilizzare questo per
generare chiavi host.

Normalmente questo programma genera la chiave e chiede un file in cui memorizzare il private
chiave. La chiave pubblica è memorizzata in un file con lo stesso nome ma con l'aggiunta di ".pub". Il
programma richiede anche una passphrase. La passphrase potrebbe essere vuota per indicare che non è presente alcuna passphrase
(le chiavi host devono avere una passphrase vuota), oppure può essere una stringa di lunghezza arbitraria. UN
la passphrase è simile a una password, tranne per il fatto che può essere una frase con una serie di parole,
punteggiatura, numeri, spazi bianchi o qualsiasi stringa di caratteri desiderata. Buone passphrase
sono lunghe 10-30 caratteri, non sono frasi semplici o comunque facilmente indovinabili (inglese
la prosa ha solo 1-2 bit di entropia per carattere e fornisce passphrase pessime), e
contengono una combinazione di lettere maiuscole e minuscole, numeri e caratteri non alfanumerici. Il
la passphrase può essere modificata in seguito utilizzando il -p opzione.

Non è possibile recuperare una passphrase persa. Se la passphrase viene persa o dimenticata, una nuova
la chiave deve essere generata e la chiave pubblica corrispondente copiata su altre macchine.

Per le chiavi RSA1, c'è anche un campo commento nel file chiave che serve solo per comodità
l'utente per aiutare a identificare la chiave. Il commento può dire a cosa serve la chiave, o qualunque cosa sia
utile. Il commento viene inizializzato su "user@host" quando viene creata la chiave, ma può essere
cambiato usando il -c opzione.

Dopo che una chiave è stata generata, le istruzioni seguenti descrivono in dettaglio dove devono essere posizionate le chiavi
attivato.

Le opzioni sono le seguenti:

-A Per ciascuno dei tipi di chiave (rsa1, rsa, dsa, ecdsa e ed25519) per i quali le chiavi host funzionano
non esiste, genera le chiavi host con il percorso del file chiave predefinito, un vuoto
passphrase, bit predefiniti per il tipo di chiave e commento predefinito. Questo è usato da
script di amministrazione del sistema per generare nuove chiavi host.

-a round
Quando si salva una chiave privata di nuovo formato (cioè una chiave ed25519 o qualsiasi chiave del protocollo SSH 2
quando l' -o flag è impostato), questa opzione specifica il numero di KDF (derivazione chiave
funzione) giri utilizzati. Numeri più alti comportano una verifica della passphrase più lenta e
maggiore resistenza al cracking delle password con la forza bruta (in caso di furto delle chiavi).

Quando si selezionano i candidati DH-GEX (utilizzando il -T comando). Questa opzione specifica il
numero di test di primalità da eseguire.

-B Mostra il digest bubblebabble del file di chiave pubblica o privata specificato.

-b bit
Specifica il numero di bit nella chiave da creare. Per le chiavi RSA, la dimensione minima
è 1024 bit e il valore predefinito è 2048 bit. In genere, vengono considerati 2048 bit
sufficiente. Le chiavi DSA devono essere esattamente 1024 bit come specificato da FIPS 186-2. Per
chiavi ECDSA, il -b flag determina la lunghezza della chiave selezionando una delle tre
dimensioni della curva ellittica: 256, 384 o 521 bit. Tentativo di utilizzare lunghezze di bit altro
di questi tre valori per le chiavi ECDSA falliranno. Le chiavi Ed25519 hanno una lunghezza fissa
e le -b bandiera verrà ignorata.

-C commento
Fornisce un nuovo commento.

-c Richiede la modifica del commento nei file delle chiavi private e pubbliche. Questa operazione
è supportato solo per le chiavi RSA1. Il programma richiederà il file contenente
le chiavi private, per la passphrase se la chiave ne ha una e per il nuovo commento.

-D pkcs11
Scarica le chiavi pubbliche RSA fornite dalla libreria condivisa PKCS#11 pkcs11. Quando
usato in combinazione con -s, questa opzione indica che una chiave CA risiede in a
Token PKCS#11 (vedi il CERTIFICATI sezione per i dettagli).

-E finger_hash
Specifica l'algoritmo hash utilizzato durante la visualizzazione delle impronte digitali chiave. Opzioni valide
sono: “md5” e “sha256”. L'impostazione predefinita è "sha256".

-e Questa opzione leggerà un file chiave OpenSSH privato o pubblico e stamperà sullo stdout del
chiave in uno dei formati specificati dal -m opzione. Il formato di esportazione predefinito è
“RFC4716”. Questa opzione consente di esportare chiavi OpenSSH per l'utilizzo da parte di altri programmi,
comprese diverse implementazioni SSH commerciali.

-F hostname
Cerca lo specificato hostname in un host_conosciuti file, elencando eventuali occorrenze
trovato. Questa opzione è utile per trovare nomi host o indirizzi con hash e può anche essere
utilizzato in combinazione con il -H opzione per stampare le chiavi trovate in un formato con hash.

-f Nome del file
Specifica il nome del file chiave.

-G file di uscita
Generare primi candidati per DH-GEX. Questi primi devono essere schermati per sicurezza
(usando il -T opzione) prima dell'uso.

-g Utilizzare il formato DNS generico quando si stampano i record di risorse delle impronte digitali utilizzando il -r
comando.

-H hash a host_conosciuti file. Questo sostituisce tutti i nomi host e gli indirizzi con hash
rappresentazioni all'interno del file specificato; il contenuto originale viene spostato in un file
con un suffisso .vecchio. Questi hash possono essere usati normalmente da SSH che a sshd, ma lo fanno
non rivelare informazioni identificative in caso di divulgazione del contenuto del file. Questo
l'opzione non modificherà i nomi host con hash esistenti ed è quindi sicuro da usare su
file che combinano nomi con e senza hash.

-h Quando si firma una chiave, creare un certificato host anziché un certificato utente. Per favore
si può consultare il CERTIFICATI sezione per i dettagli.

-I identità_certificato
Specificare l'identità della chiave quando si firma una chiave pubblica. Si prega di vedere il CERTIFICATI
sezione per i dettagli.

-i Questa opzione leggerà un file di chiave privata (o pubblica) non crittografato nel formato
specificato dal -m opzione e stampare una chiave privata (o pubblica) compatibile con OpenSSH
a stdout. Questa opzione consente di importare chiavi da altri software, inclusi diversi
implementazioni SSH commerciali. Il formato di importazione predefinito è "RFC4716".

-J num_linee
Esci dopo aver selezionato il numero di righe specificato durante l'esecuzione del candidato DH
screening utilizzando il -T opzione.

-j linea_di_inizio
Avvia lo screening al numero di riga specificato durante l'esecuzione dello screening del candidato DH
usando il -T opzione.

-K checkpt
Scrivi l'ultima riga elaborata nel file checkpt durante l'esecuzione del candidato DH
screening utilizzando il -T opzione. Questo sarà usato per saltare le righe nel file di input
che sono già stati elaborati se il lavoro viene riavviato.

-k Genera un file KRL. In questa modalità, ssh-keygen genererà un file KRL in corrispondenza del
posizione specificata tramite il -f flag che revoca ogni chiave o certificato presentato
sulla riga di comando. Le chiavi/certificati da revocare possono essere specificati tramite chiave pubblica
file o utilizzando il formato descritto nel KEY REVOCA LISTE .

-L Stampa il contenuto di uno o più certificati.

-l Mostra l'impronta digitale del file della chiave pubblica specificato. Anche le chiavi RSA1 private sono
supportato. Per chiavi RSA e DSA ssh-keygen prova a trovare la chiave pubblica corrispondente
file e stampa la sua impronta digitale. Se abbinato a -v, una rappresentazione artistica ASCII
della chiave viene fornita con l'impronta digitale.

-M memoria
Specificare la quantità di memoria da utilizzare (in megabyte) durante la generazione dei moduli candidati
per DH-GEX.

-m formato_chiave
Specificare un formato chiave per il -i (importazione) o -e (esportazione) opzioni di conversione. Il
i formati di chiave supportati sono: "RFC4716" (chiave pubblica o privata RFC 4716/SSH2), "PKCS8"
(chiave pubblica PEM PKCS8) o “PEM” (chiave pubblica PEM). Il formato di conversione predefinito è
"RFC4716".

-N nuova_passphrase
Fornisce la nuova passphrase.

-n presidi
Specificare uno o più principal (user o host name) da includere in un certificato
quando si firma una chiave. È possibile specificare più entità, separate da virgole.
Si prega di consultare la CERTIFICATI sezione per i dettagli.

-O opzione
Specificare un'opzione di certificato quando si firma una chiave. Questa opzione può essere specificata
più volte. Si prega di vedere il CERTIFICATI sezione per i dettagli. Le opzioni che
sono validi per i certificati utente sono:

pulire campo Cancella tutte le autorizzazioni abilitate. Questo è utile per cancellare l'impostazione predefinita
di permessi in modo che i permessi possano essere aggiunti individualmente.

comando forzato=command
Forza l'esecuzione di command invece di qualsiasi shell o comando specificato da
l'utente quando il certificato viene utilizzato per l'autenticazione.

nessun-agente-inoltro
Disabilita ssh-agent(1) inoltro (permesso per impostazione predefinita).

nessun port forwarding
Disabilita il port forwarding (permesso per impostazione predefinita).

no-pty Disabilita l'allocazione PTY (permessa per impostazione predefinita).

no-utente-rc
Disabilita l'esecuzione di ~/.ssh/rc by sshd(8) (consentito per impostazione predefinita).

no-x11-inoltro
Disabilita l'inoltro X11 (permesso per impostazione predefinita).

agente-permesso-inoltro
Permette ssh-agent(1) inoltro.

permesso-port forwarding
Consente il port forwarding.

permesso-pty
Consente l'allocazione PTY.

permesso-utente-rc
Consente l'esecuzione di ~/.ssh/rc by sshd(8).

permesso-x11-inoltro
Consente l'inoltro X11.

indirizzo di partenza=elenco_indirizzi
Limita gli indirizzi di origine da cui viene considerato il certificato
valido. Il elenco_indirizzi è un elenco separato da virgole di uno o più
coppie indirizzo/netmask in formato CIDR.

Al momento, nessuna opzione è valida per le chiavi host.

-o Cause ssh-keygen per salvare le chiavi private utilizzando il nuovo formato OpenSSH anziché il
formato PEM più compatibile. Il nuovo formato ha una maggiore resistenza alla forza bruta
cracking della password ma non è supportato dalle versioni di OpenSSH precedenti alla 6.5. Ed25519
le chiavi utilizzano sempre il nuovo formato della chiave privata.

-P frase d'accesso
Fornisce la (vecchia) passphrase.

-p Richiede la modifica della passphrase di un file di chiave privata invece di crearne una nuova
chiave privata. Il programma richiederà il file contenente la chiave privata, per
la vecchia passphrase e due volte per la nuova passphrase.

-Q Verifica se le chiavi sono state revocate in un KRL.

-q Silenzio ssh-keygen.

-R hostname
Rimuove tutte le chiavi appartenenti a hostname da parte di un host_conosciuti file. Questa opzione è
utile per eliminare host con hash (vedi il -H opzione sopra).

-r hostname
Stampare il record di risorse dell'impronta digitale SSHFP denominato hostname per il pubblico specificato
file chiave.

-S inizia a
Specificare il punto iniziale (in esadecimale) durante la generazione dei moduli candidati per DH-GEX.

-s chiave_ca
Certifica (firma) una chiave pubblica utilizzando la chiave CA specificata. Si prega di vedere il CERTIFICATI
sezione per i dettagli.

Quando si genera un KRL, -s specifica un percorso a un file di chiave pubblica CA utilizzato per revocare
certificati direttamente tramite ID chiave o numero di serie. Vedi il KEY REVOCA LISTE
sezione per i dettagli.

-T file di uscita
Testare i primi candidati allo scambio del gruppo DH (generato utilizzando il -G opzione) per la sicurezza.

-t dsa | ECDSA | ed25519 | rsa | rsa1
Specifica il tipo di chiave da creare. I valori possibili sono "rsa1" per protocollo
versione 1 e "dsa", "ecdsa", "ed25519" o "rsa" per la versione del protocollo 2.

-u Aggiorna un KRL. Quando specificato con -k, le chiavi elencate tramite la riga di comando vengono aggiunte a
il KRL esistente piuttosto che un nuovo KRL in fase di creazione.

-V intervallo_validità
Specificare un intervallo di validità quando si firma un certificato. Un intervallo di validità può
consistono in una sola volta, indicando che il certificato è valido a partire da ora e
in scadenza in quel momento, o può consistere di due volte separate da due punti per indicare
un intervallo di tempo esplicito. L'ora di inizio può essere specificata come data in AAAAMMGG
formato, un'ora in formato AAAAMMGGHHMMSS o un'ora relativa (all'ora corrente)
costituito da un segno meno seguito da un tempo relativo nel formato descritto in
la sezione FORMATI ORA di sshd_config(5). L'ora di fine può essere specificata come a
AAAAMMGG data, un'ora AAAAMMGGHHMMSS o un'ora relativa che inizia con un segno più
carattere.

Ad esempio: “+52w1d” (valido da ora a 52 settimane e un giorno da ora), “-4w:+4w”
(valido da quattro settimane fa a quattro settimane da oggi), “20100101123000:20110101123000”
(valido dalle 12:30 del 1 gennaio 2010 alle 12:30 del 1 gennaio 2011),
“-1d:20110101” (valido da ieri a mezzanotte, 1 gennaio 2011).

-v Modalità dettagliata. cause ssh-keygen per stampare messaggi di debug sui suoi progressi.
Questo è utile per il debug della generazione dei moduli. multiplo -v le opzioni aumentano il
verbosità. Il massimo è 3.

-W generatore
Specificare il generatore desiderato durante il test dei moduli candidati per DH-GEX.

-y Questa opzione leggerà un file in formato OpenSSH privato e stamperà una chiave pubblica OpenSSH
a stdout.

-z numero di serie
Specifica un numero di serie da incorporare nel certificato per distinguerlo
certificato da altri dalla stessa CA. Il numero di serie predefinito è zero.

Quando si genera un KRL, il -z flag viene utilizzato per specificare un numero di versione KRL.

MODULI GENERAZIONE

ssh-keygen può essere utilizzato per generare gruppi per il Diffie-Hellman Group Exchange (DH-GEX)
protocollo. La generazione di questi gruppi è un processo in due fasi: primo, i primi candidati sono
generato utilizzando un processo veloce, ma ad alta intensità di memoria. Questi primi candidati sono quindi
testato per l'idoneità (un processo ad alta intensità di CPU).

La generazione dei numeri primi viene eseguita utilizzando il -G opzione. La lunghezza desiderata dei numeri primi può
essere specificato dal -b opzione. Per esempio:

# ssh-keygen -G moduli-2048.candidates -b 2048

Per impostazione predefinita, la ricerca dei numeri primi inizia in un punto casuale nell'intervallo di lunghezza desiderato.
Questo può essere ignorato usando il -S opzione, che specifica un punto di inizio diverso (in
esadecimale).

Una volta che una serie di candidati è stata generata, deve essere sottoposta a screening per l'idoneità. Questo
può essere eseguito utilizzando il -T opzione. In questa modalità ssh-keygen leggerà i candidati da
input standard (o un file specificato usando il -f opzione). Per esempio:

# ssh-keygen -T moduli-2048 -f moduli-2048.candidates

Per impostazione predefinita, ogni candidato sarà sottoposto a 100 test di primalità. Questo potrebbe essere ignorato
usando il -a opzione. Il valore del generatore DH verrà scelto automaticamente per il prime
in esame. Se si desidera un generatore specifico, può essere richiesto utilizzando il -W
opzione. I valori validi del generatore sono 2, 3 e 5.

I gruppi DH schermati possono essere installati in /etc/ssh/moduli. È importante che questo file
contiene moduli di un intervallo di lunghezze di bit e che entrambe le estremità di una connessione condividono un comune
moduli.

CERTIFICATI

ssh-keygen supporta la firma di chiavi per produrre certificati che possono essere utilizzati per l'utente o
autenticazione dell'ospite. I certificati sono costituiti da una chiave pubblica, alcune informazioni sull'identità, zero
o più nomi principali (utente o host) e una serie di opzioni firmate da a
Chiave dell'autorità di certificazione (CA). I client o i server possono quindi fidarsi solo della chiave CA e
verificare la sua firma su un certificato piuttosto che fidarsi di molte chiavi utente/host. Notare che
I certificati OpenSSH sono un formato diverso e molto più semplice rispetto ai certificati X.509
utilizzato in ssl(8).

ssh-keygen supporta due tipi di certificati: utente e host. Certificati utente
autenticare gli utenti sui server, mentre i certificati host autenticano gli host del server sugli utenti.
Per generare un certificato utente:

$ ssh-keygen -s /percorso/di/chiave_ca -I id_chiave /percorso/di/chiave_utente.pub

Il certificato risultante verrà inserito in /percorso/di/user_key-cert.pub. Un certificato di accoglienza
richiede il -h opzione:

$ ssh-keygen -s /percorso/di/ca_key -I key_id -h /percorso/di/host_key.pub

Il certificato host verrà inviato a /percorso/di/host_key-cert.pub.

È possibile firmare utilizzando una chiave CA memorizzata in un token PKCS#11 fornendo il token
libreria usando -D e identificare la chiave CA fornendo la sua metà pubblica come argomento per
-s:

$ ssh-keygen -s ca_key.pub -D libpkcs11.so -I key_id user_key.pub

In tutti i casi, key_id key è un "identificatore chiave" che viene registrato dal server quando il certificato
viene utilizzato per l'autenticazione.

I certificati possono essere limitati per essere validi per un insieme di nomi principali (utente/host). Di
impostazione predefinita, i certificati generati sono validi per tutti gli utenti o host. Per generare un certificato
per un insieme specificato di principali:

$ ssh-keygen -s chiave_ca -I id_chiave -n utente1,utente2 chiave_utente.pub
$ ssh-keygen -s ca_key -I key_id -h -n host.dominio host_key.pub

Ulteriori limitazioni alla validità e all'uso dei certificati utente possono essere specificate tramite
opzioni di certificato. Un'opzione certificato può disabilitare le funzionalità della sessione SSH, potrebbe essere
valido solo se presentato da particolari indirizzi di origine o può forzare l'uso di a
comando specifico. Per un elenco di opzioni di certificato valide, vedere la documentazione per il -O
opzione sopra.

Infine, i certificati possono essere definiti con una durata di validità. Il -V l'opzione consente
indicazione dell'ora di inizio e di fine del certificato. Un certificato che viene presentato alla volta
al di fuori di questo intervallo non sarà considerato valido. Per impostazione predefinita, i certificati sono validi da
UNIX Epoch nel lontano futuro.

Per i certificati da utilizzare per l'autenticazione dell'utente o dell'host, la chiave pubblica della CA deve essere
fidato da sshd(8) o SSH(1). Fare riferimento a quelle pagine di manuale per i dettagli.

KEY REVOCA LISTE

ssh-keygen è in grado di gestire Key Revocation List (KRL) in formato OpenSSH. Questi file binari
specificare chiavi o certificati da revocare utilizzando un formato compatto, prendendone appena uno
bit per certificato se vengono revocati per numero di serie.

I KRL possono essere generati utilizzando il -k bandiera. Questa opzione legge uno o più file dal
riga di comando e genera un nuovo KRL. I file possono contenere una specifica KRL (vedi
sotto) o chiavi pubbliche, elencate una per riga. Le chiavi pubbliche semplici vengono revocate elencando le loro
hash o contenuto nel KRL e certificati revocati tramite numero di serie o ID chiave (se il
seriale è zero o non disponibile).

La revoca delle chiavi utilizzando una specifica KRL offre un controllo esplicito sui tipi di record
utilizzato per revocare le chiavi e può essere utilizzato per revocare direttamente i certificati tramite numero di serie o chiave
Documento d'identità senza avere a portata di mano il certificato originale completo. Una specifica KRL consiste
di righe contenenti una delle seguenti direttive seguita da due punti e da alcune direttive-
informazione specifica.

serial: numero di serie[-numero di serie]
Revoca un certificato con il numero di serie specificato. I numeri di serie sono a 64 bit
valori, escluso lo zero e possono essere espressi in decimale, esadecimale o ottale. Se due
i numeri di serie sono specificati separati da un trattino, quindi l'intervallo di numeri di serie
compreso e tra ciascuno è revocato. La chiave CA deve essere stata specificata sul
ssh-keygen riga di comando usando il -s opzione.

id: key_id key
Revoca un certificato con la stringa ID chiave specificata. La chiave CA deve essere stata
specificato sul ssh-keygen riga di comando usando il -s opzione.

chiave: chiave pubblica
Revoca la chiave specificata. Se un certificato è elencato, viene revocato come a
semplice chiave pubblica.

sha1: chiave pubblica
Revoca la chiave specificata tramite il relativo hash SHA1.

I KRL possono essere aggiornati utilizzando il -u bandiera oltre a -k. Quando questa opzione è specificata,
le chiavi elencate tramite la riga di comando vengono unite nel KRL, aggiungendosi a quelle già presenti.

È anche possibile, dato un KRL, verificare se revoca una chiave (o chiavi) particolare.
Le -Q flag interrogherà un KRL esistente, testando ogni chiave specificata sulla riga di comando. Se
qualsiasi chiave elencata nella riga di comando è stata revocata (o si è verificato un errore) quindi
ssh-keygen uscirà con uno stato di uscita diverso da zero. Verrà restituito solo uno stato di uscita pari a zero
se nessuna chiave è stata revocata.

Usa ssh-keygen online usando i servizi onworks.net