如何使用 python 复制 ssh-keygen 的功能

Question

我需要生成用于 SFTP 身份验证的 RSA 密钥对。 SFTP 使用 OpenSSH，根据其 IETF 规范，密钥应该只能由 ssh-keygen 生成。 https://www.openssh.com/specs.html

但是，对于我当前的项目，我不能依赖像 ssh-keygen 这样的外部程序，即使是通过 python 的子进程模块之类的东西执行的。这与部署环境的细节有关。无论如何，出于某种原因，我使用 python 的加密模块生成的密钥，尽管它们看起来是正确的，但在 SFTP 登录期间被拒绝了。

我不知道是什么让 ssh-keygen 密钥如此特别。我怀疑它要么与键 size/length 或 public 指数等参数有关，要么可能是由于字符编码问题。

这是生成密钥的代码

from cryptography.hazmat.primitives import serialization as crypto_serialization
from cryptography.hazmat.primitives.asymmetric import rsa
from cryptography.hazmat.backends import default_backend as crypto_default_backend

key = rsa.generate_private_key(
    backend=crypto_default_backend(), public_exponent=65537, key_size=2048)
private_key = key.private_bytes(
    crypto_serialization.Encoding.PEM, crypto_serialization.PrivateFormat.PKCS8, crypto_serialization.NoEncryption()).decode("utf-8")
public_key = key.public_key().public_bytes(
    crypto_serialization.Encoding.OpenSSH, crypto_serialization.PublicFormat.OpenSSH).decode("utf-8")
print(public_key)
print(private_key)

以下是由 sftp 接受的 ssh-keygen 生成的密钥。

Public键：

(我修改了 user@machine_name 部分，但我高度怀疑这是否相关，因为我在部署 [=51= 时实际上剥离了这部分] sftp 服务器的密钥）

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDWe1fmzvKHYu90YbGiDVD/k+Jj6OgQLUuleTIkAiljrN+Z6RTF9xK6bk5uEquB5TBWvl/i9kh8blCjkxnKI8ivvBZiX6ubuRraEtkmRR+/UmxHehKwE40eAtbFjY6q69PpNBg+iM7nXrTHK1vmD5VY8KsflfKBmS628V0QxxgQTdi/irb4AZLBqR7lAnanB15envtMBxoesoA6Duaj47TftzDP2j8iX7Jgj+WZqB85aqggbxUfV0kDVj9YbSuZk9ccA3udRlMpH2k1aiMemF0zB2jHXHPHTE+0sIoX0J331+yzWR+iJXwZeEdRREmeTc8FJN2/Rq1lLH87NPkB4uhH user@machine_name

私钥：

下面是我程序的输出

Public键：

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAABAQDr0tbRIlabQr6xPudI3Gz9qN7hIeKhMdrxiKzXsgfBElRF6htfUebwFTcmRrPeb0mN+wCdcrnAF+iG+cYvpjhX6mQa+rBV79kiUZJg3n/BfjiMBko9q6QDrpOfNdKElnGVqBcTFSZKyzNfGpOTcpzCxXd76IyUx1MuY2A4MUC/TVBNpJnrEqvJjaAAbtTWDXYmzmApL3m308CH+SV2NKE5dzHNX+NvFeZ2Xlcv5ZRGB6jiUV+HI3QFPeaLJ+xneucc0rCrjF22RHvBFovnInFnIDXdadqsElxAKYviygpZL6ekJJETJhZjGzDNJh0b30OiZS493CDmd7Qb97MfN95/

私钥：

Answer 1

OpenSSH ssh-keygen 使用的 header 是旧版 PEM 文件：

-----BEGIN RSA PRIVATE KEY-----

您创建的 header 脚本是新的 PKCS#8 PEM 文件，如果您使用一些非标准工具连接到 sftp，它们将不完全兼容。

-----BEGIN PRIVATE KEY-----

您可以使用 private_bytes 函数的 serialization.TraditionalOpenSSL 参数创建相同的旧 PEM 格式。

如何使用 python 复制 ssh-keygen 的功能

How to replicate the functionality of ssh-keygen using python

python

cryptography

rsa

openssh

ssh-keygen