Início / computer / Perguntas / 1769051
Accepted
Daniel Griscom
Asked: 2023-02-17 06:49:05 +0800 CST

Login de chave pública no computador com openSSH muito antigo

  • 772

Eu uso a chave pública ssh para fazer login em uma máquina Linux muito antiga executando o OpenSSH 5.9p1, e tudo funcionou bem na última década. Recentemente, porém, atualizei o sistema operacional da minha máquina de trabalho (que agora está executando o OpenSSH 9.0) e agora o login da chave pública falha com um send_pubkey_test: no mutual signature algorithmerro. Posso entrar com a senha, mas preciso da autenticação de chave pública para funcionar. Como posso persuadir os dois OpenSSHs a jogar bem?

Os detalhes:

Posso reconfigurar o OpenSSH de qualquer caixa e criar e adicionar chaves, mas não consigo atualizar nenhuma das versões do OpenSSH. A segurança da máquina Linux antiga é relativamente sem importância e eu tenho o ssh remoto em minha máquina de trabalho desativado (é meu laptop).

Aqui está a saída nmap --script ssh2-enum-algos -sV -p 22 WW.XX.YY.ZZda minha própria máquina e da caixa do Linux. As linhas que estão presentes em ambos são marcadas com (*). Primeiro minha máquina de trabalho:

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 9.0 (protocol 2.0)
| ssh2-enum-algos: 
|   kex_algorithms: (10)
|       curve25519-sha256
|       [email protected]
|       diffie-hellman-group-exchange-sha256 (*)
|       diffie-hellman-group14-sha256
|       diffie-hellman-group16-sha512
|       diffie-hellman-group18-sha512
|       ecdh-sha2-nistp256
|       ecdh-sha2-nistp384
|       ecdh-sha2-nistp521
|       [email protected]
|   server_host_key_algorithms: (4)
|       ecdsa-sha2-nistp256
|       rsa-sha2-256
|       rsa-sha2-512
|       ssh-ed25519
|   encryption_algorithms: (6)
|       aes128-ctr (*)
|       [email protected]
|       aes192-ctr (*)
|       aes256-ctr (*)
|       [email protected]
|       [email protected]
|   mac_algorithms: (10)
|       hmac-sha1 (*)
|       [email protected]
|       hmac-sha2-256 (*)
|       [email protected]
|       hmac-sha2-512 (*)
|       [email protected]
|       [email protected]
|       [email protected] (*)
|       [email protected]
|       [email protected]
|   compression_algorithms: (2)
|       none (*)
|_      [email protected] (*)

Agora a caixa do Linux:

PORT   STATE SERVICE VERSION
22/tcp open  ssh     OpenSSH 5.9p1 (protocol 2.0; HPN-SSH patch 13v11)
| ssh2-enum-algos: 
|   kex_algorithms: (4)
|       diffie-hellman-group-exchange-sha1
|       diffie-hellman-group-exchange-sha256 (*)
|       diffie-hellman-group1-sha1
|       diffie-hellman-group14-sha1
|   server_host_key_algorithms: (2)
|       ssh-dss
|       ssh-rsa
|   encryption_algorithms: (13)
|       3des-cbc
|       aes128-cbc
|       aes128-ctr (*)
|       aes192-cbc
|       aes192-ctr (*)
|       aes256-cbc
|       aes256-ctr (*)
|       arcfour
|       arcfour128
|       arcfour256
|       blowfish-cbc
|       cast128-cbc
|       [email protected]
|   mac_algorithms: (11)
|       hmac-md5
|       hmac-md5-96
|       hmac-ripemd160
|       [email protected]
|       hmac-sha1 (*)
|       hmac-sha1-96
|       hmac-sha2-256 (*)
|       hmac-sha2-256-96
|       hmac-sha2-512 (*)
|       hmac-sha2-512-96
|       [email protected] (*)
|   compression_algorithms: (2)
|       none (*)
|_      [email protected] (*)

Sugestões? (Obrigado.)

linux

1 respostas

  1. Best Answer

    O OpenSSH atual exige que a autenticação de chave RSA seja feita usando assinaturas baseadas em SHA2, enquanto seu servidor suporta apenas SHA1 de acordo com a especificação original. (O formato de chave "ssh-rsa" ainda é o mesmo, mas clientes e servidores modernos também negociam os modos de assinatura RSA como uma etapa separada.)

    Por enquanto, o OpenSSH ainda tem suporte RSA-SHA1 presente, mas desabilitado por padrão; você pode ativá-lo na máquina cliente com a opção ssh -oou .ssh/config:

    PubkeyAcceptedAlgorithms +ssh-rsa

    Na maioria dos casos, você também precisará que o cliente aceite assinaturas RSA-SHA1 do servidor quando sua chave de host estiver sendo validada:

    HostKeyAlgorithms +ssh-rsa

    Se desejar, você pode restringir essas opções menos seguras a um conjunto específico de máquinas adicionando o seguinte ao .ssh/config do seu cliente:

    Host 10.3.4.*
     PubkeyAcceptedAlgorithms +ssh-rsa
     HostKeyAlgorithms +ssh-rsa

    Para sistemas ainda mais antigos, use o PuTTY – seu plinkcliente CLI SSH pode se conectar a praticamente qualquer coisa.

    • 2

relate perguntas