我正在嘗試使用 Go 為 SSH 生成 ECDSA 密鑰對，但我發現私鑰格式ssh-keygen與 GitHub不同并且無法被 GitHub 接受。
這是通過ssh-keygen -t ecdsa -b 256以下方式生成的 256 位密鑰對：
ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBOJWUhO waiB aKvXO0xC5XTL6P/X/TIzQ4hgdXkDfmAfntOj/HXRIu4GulCvJgUoyTiF5Qt9j9gK6Z17szUv3s= root@9e5eef4b58c5
-----BEGIN OPENSSH PRIVATE KEY-----
b3BlbnNzaC1rZXktdjEAAAAABG5vbmUAAAAEbm9uZQAAAAAAAAABAAAAaAAAABNlY2RzYS
1zaGEyLW5pc3RwMjU2AAAACG5pc3RwMjU2AAAAQQTiVlITvsGogfmir1ztMQuV0y j/1/0
yM0OIYHV5A35gH57To/x10SLuBrpQryYFKMk4heULfY/YCumde7M1L97AAAAsDs42wc7ON
sHAAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBOJWUhO waiB aKv
XO0xC5XTL6P/X/TIzQ4hgdXkDfmAfntOj/HXRIu4GulCvJgUoyTiF5Qt9j9gK6Z17szUv3
sAAAAgOpAIXW6rZQqgYZboSJXojH2diS26wfm6P3hn8cQVZrwAAAARcm9vdEA5ZTVlZWY0
YjU4YzUBAgMEBQYH
-----END OPENSSH PRIVATE KEY-----
這是 Go 中的生成器代碼：
// GenerateECDSAKeys generates ECDSA public and private key pair with given size for SSH.
func GenerateECDSAKeys(bitSize int) (pubKey string, privKey string, err error) {
// generate private key
var privateKey *ecdsa.PrivateKey
if privateKey, err = ecdsa.GenerateKey(curveFromLength(bitSize), rand.Reader); err != nil {
return
}
// encode public key
var (
bytes []byte
publicKey ssh.PublicKey
)
if publicKey, err = ssh.NewPublicKey(privateKey.Public()); err != nil {
return
}
pubBytes := ssh.MarshalAuthorizedKey(publicKey)
// encode private key
if bytes, err = x509.MarshalECPrivateKey(privateKey); err != nil {
return
}
privBytes := pem.EncodeToMemory(&pem.Block{
Type: "ECDSA PRIVATE KEY",
Bytes: bytes,
})
return string(pubBytes), string(privBytes), nil
}
func curveFromLength(l int) elliptic.Curve {
switch l {
case 224:
return elliptic.P224()
case 256:
return elliptic.P256()
case 348:
return elliptic.P384()
case 521:
return elliptic.P521()
}
return elliptic.P384()
}
并生成結果：
ecdsa-sha2-nistp256 AAAAE2VjZHNhLXNoYTItbmlzdHAyNTYAAAAIbmlzdHAyNTYAAABBBNYTtNRlEKh/harLSfIsSziDkEQ8E7OJ7azhTBJi1Qx fDa6dGg9f/vudGEizJ5d9TINVLTP Jemwg6FBhajiVA=
-----BEGIN ECDSA PRIVATE KEY-----
MHcCAQEEIEGZZ/4aD6tf0sc1ovyctlGWRSFp7RGw5ovRONZKLg4eoAoGCCqGSM49
AwEHoUQDQgAE1hO01GUQqH FqstJ8ixLOIOQRDwTs4ntrOFMEmLVDH58Nrp0aD1/
50YSLMnl31Mg1UtM/4l6bCDoUGFqOJUA==
-----END ECDSA PRIVATE KEY-----
那么為什么SSH私鑰在一代之后如此不同，以及如何使其發揮作用呢？
uj5u.com熱心網友回復：
OpenSSH 對私有 EC 密鑰使用不同的格式，SEC1（由您的 Go 代碼生成）、PKCS#8 或更新的 OpenSSH 格式（由ssh-keygen命令生成）。此處對此進行了描述，其中還包含對 OpenSSH 格式的更詳細說明。SEC1 格式在這篇文章中有解釋。
當前的 Go 代碼生成了一個帶有錯誤頁眉和頁腳的 SEC1 密鑰。原來這就是問題的原因！要修復錯誤，ECDSA必須EC在頁眉和頁腳中替換：
-----BEGIN EC PRIVATE KEY-----
...
-----END EC PRIVATE KEY-----
即在 Go 代碼中的EncodeToMemory()呼叫Type: "ECDSA PRIVATE KEY"必須替換為Type: "EC PRIVATE KEY".
請注意，格式之間的轉換也是可能的，例如使用ssh-keygen。例如
ssh-keygen -p -N "" -f data.key
將包含的 SEC1 密鑰轉換為data.keyOpenSSH 格式，請參見此處。
轉載請註明出處，本文鏈接：https://www.uj5u.com/gongcheng/385993.html