将 pem 密钥转换为 ssh-rsa 格式

Question

我有一个 der 格式的证书，通过此命令我可以生成一个公钥：

openssl x509 -inform der -in ejbcacert.cer -noout -pubkey > pub1key.pub

其结果是：

-----BEGIN PUBLIC KEY-----
MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC7vbqajDw4o6gJy8UtmIbkcpnk
O3Kwc4qsEnSZp/TR+fQi62F79RHWmwKOtFmwteURgLbj7D/WGuNLGOfa/2vse3G2
eHnHl5CB8ruRX9fBl/KgwCVr2JaEuUm66bBQeP5XeBotdR4cvX38uPYivCDdPjJ1
QWPdspTBKcxeFbccDwIDAQAB
-----END PUBLIC KEY-----

如何获得这样的公钥？ 从证书或 来自这个公钥？

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAAAgQC7vbqajDw4o6gJy8UtmIbkcpnkO3Kwc4qsEnSZp/TR+fQi62F79RHWmwKOtFmwteURgLbj7D/WGuNLGOfa/2vse3G2eHnHl5CB8ruRX9fBl/KgwCVr2JaEuUm66bBQeP5XeBotdR4cvX38uPYivCDdPjJ1QWPdspTBKcxeFbccDw==

这是通过以下命令获得的：

ssh-keygen -y -f private_key1.pem > public_key1.pub

Answer 1

不需要编译东西。 您可以对 ssh-keygen 执行相同操作：

ssh-keygen -f pub1key.pub -i

将从 pub1key.pub 读取 openssl 格式的公钥，并以 OpenSSH 格式输出。

注意：在某些情况下，您需要指定输入格式：

ssh-keygen -f pub1key.pub -i -m PKCS8

来自 ssh-keygen 文档（来自 man ssh-keygen）：

-m key_format 指定 -i（导入）或 -e（导出）转换选项的密钥格式。 支持的密钥格式为：“RFC4716”（RFC 4716/SSH2 公钥或私钥）、“PKCS8”（PEM PKCS8 公钥）或“PEM”（PEM 公钥）。 默认转换格式为“RFC4716”。

Answer 2

不需要脚本或其他“技巧”：openssl 和 ssh-keygen 就足够了。 我假设密钥没有密码（这很糟糕）。

生成 RSA 对

以下所有方法都会以相同的格式给出 RSA 密钥对

1. 使用 openssl (man genrsa)

   openssl genrsa -out dummy-genrsa.pem 2048 
     

   在 OpenSSL v1.0.1 中 genrsa 已被 genpkey 取代，因此这是执行此操作的新方法（man genpkey):

   <前><代码>openssl genpkey -算法 RSA -out dummy-genpkey.pem -pkeyopt rsa_keygen_bits:2048

2. 使用 ssh-keygen

   ssh-keygen -t rsa -b 2048 -f dummy-ssh-keygen.pem -N '' -C “测试密钥” 
     

将 DER 转换为 PEM

如果您有 DER 格式的 RSA 密钥对，您可能需要将其转换为 PEM 以允许以下格式转换：

生成：

openssl genpkey -algorithm RSA -out genpkey-dummy.cer -outform DER -pkeyopt rsa_keygen_bits:2048

转换：

openssl rsa -inform DER -outform PEM -in genpkey-dummy.cer -out dummy-der2pem.pem

提取公钥来自 PEM 格式的 RSA 对

2. PEM 格式：

   openssl rsa -in dummy-xxx.pem -pubout 
     

3. OpenSSH v2 格式 参见：

   ssh-keygen -y -f dummy-xxx.pem 
     

Notes

操作系统和软件版本：

[user@test1 ~]# cat /etc/redhat-release ; uname -a ; openssl version
CentOS release 6.5 (Final)
Linux test1.example.local 2.6.32-431.el6.x86_64 #1 SMP Fri Nov 22 03:15:09 UTC 2013 x86_64 x86_64 x86_64 GNU/Linux
OpenSSL 1.0.1e-fips 11 Feb 2013

参考文献：

• Sysmic.org 在 GnuPG、OpenSsh 和 OpenSSL 之间转换密钥

Answer 3

为了回答我自己的问题，在 openssl 邮件列表上发帖后得到了这个：

Here is C code to conversion from an OpenSSL public key to an OpenSSH public key。
您可以从此链接获取代码并自行编译：

static unsigned char pSshHeader[11] = { 0x00, 0x00, 0x00, 0x07, 0x73, 0x73, 0x68, 0x2D, 0x72, 0x73, 0x61};

static int SshEncodeBuffer(unsigned char *pEncoding, int bufferLen, unsigned char* pBuffer)
{
   int adjustedLen = bufferLen, index;
   if (*pBuffer & 0x80)
   {
      adjustedLen++;
      pEncoding[4] = 0;
      index = 5;
   }
   else
   {
      index = 4;
   }
   pEncoding[0] = (unsigned char) (adjustedLen >> 24);
   pEncoding[1] = (unsigned char) (adjustedLen >> 16);
   pEncoding[2] = (unsigned char) (adjustedLen >>  8);
   pEncoding[3] = (unsigned char) (adjustedLen      );
   memcpy(&pEncoding[index], pBuffer, bufferLen);
   return index + bufferLen;
}

int main(int argc, char**  argv)
{
   int iRet = 0;
   int nLen = 0, eLen = 0;
   int encodingLength = 0;
   int index = 0;
   unsigned char *nBytes = NULL, *eBytes = NULL;
   unsigned char* pEncoding = NULL;
   FILE* pFile = NULL;
   EVP_PKEY *pPubKey = NULL;
   RSA* pRsa = NULL;
   BIO *bio, *b64;

   ERR_load_crypto_strings(); 
   OpenSSL_add_all_algorithms();

   if (argc != 3)
   {
      printf("usage: %s public_key_file_name ssh_key_description\n", argv[0]);
      iRet = 1;
      goto error;
   }

   pFile = fopen(argv[1], "rt");
   if (!pFile)
   {
      printf("Failed to open the given file\n");
      iRet = 2;
      goto error;
   }

   pPubKey = PEM_read_PUBKEY(pFile, NULL, NULL, NULL);
   if (!pPubKey)
   {
      printf("Unable to decode public key from the given file: %s\n", ERR_error_string(ERR_get_error(), NULL));
      iRet = 3;
      goto error;
   }

   if (EVP_PKEY_type(pPubKey->type) != EVP_PKEY_RSA)
   {
      printf("Only RSA public keys are currently supported\n");
      iRet = 4;
      goto error;
   }

   pRsa = EVP_PKEY_get1_RSA(pPubKey);
   if (!pRsa)
   {
      printf("Failed to get RSA public key : %s\n", ERR_error_string(ERR_get_error(), NULL));
      iRet = 5;
      goto error;
   }

   // reading the modulus
   nLen = BN_num_bytes(pRsa->n);
   nBytes = (unsigned char*) malloc(nLen);
   BN_bn2bin(pRsa->n, nBytes);

   // reading the public exponent
   eLen = BN_num_bytes(pRsa->e);
   eBytes = (unsigned char*) malloc(eLen);
   BN_bn2bin(pRsa->e, eBytes);

   encodingLength = 11 + 4 + eLen + 4 + nLen;
   // correct depending on the MSB of e and N
   if (eBytes[0] & 0x80)
      encodingLength++;
   if (nBytes[0] & 0x80)
      encodingLength++;

   pEncoding = (unsigned char*) malloc(encodingLength);
   memcpy(pEncoding, pSshHeader, 11);

   index = SshEncodeBuffer(&pEncoding[11], eLen, eBytes);
   index = SshEncodeBuffer(&pEncoding[11 + index], nLen, nBytes);

   b64 = BIO_new(BIO_f_base64());
   BIO_set_flags(b64, BIO_FLAGS_BASE64_NO_NL);
   bio = BIO_new_fp(stdout, BIO_NOCLOSE);
   BIO_printf(bio, "ssh-rsa ");
   bio = BIO_push(b64, bio);
   BIO_write(bio, pEncoding, encodingLength);
   BIO_flush(bio);
   bio = BIO_pop(b64);
   BIO_printf(bio, " %s\n", argv[2]);
   BIO_flush(bio);
   BIO_free_all(bio);
   BIO_free(b64);

error:
   if (pFile)
      fclose(pFile);
   if (pRsa)
      RSA_free(pRsa);
   if (pPubKey)
      EVP_PKEY_free(pPubKey);
   if (nBytes)
      free(nBytes);
   if (eBytes)
      free(eBytes);
   if (pEncoding)
      free(pEncoding);

   EVP_cleanup();
   ERR_free_strings();
   return iRet;
}

Answer 4

ssh-keygen -i -m PKCS8 -f public-key.pem

Answer 5

ssh-keygen -f private.pem -y > public.pub

Answer 6

以下脚本将获取 Base64 编码的 DER 格式的 ci.jenkins-ci.org 公钥证书，并将其转换为 OpenSSH 公钥文件。 此代码假设使用 2048 位 RSA 密钥，并从 Ian Boyd 的 答案。 我在这篇文章的评论中详细解释了它的工作原理 在詹金斯维基百科中。

echo -n "ssh-rsa " > jenkins.pub
curl -sfI https://ci.jenkins-ci.org/ | grep -i X-Instance-Identity | tr -d \\r | cut -d\  -f2 | base64 -d | dd bs=1 skip=32 count=257 status=none | xxd -p -c257 | sed s/^/00000007\ 7373682d727361\ 00000003\ 010001\ 00000101\ / | xxd -p -r | base64 -w0 >> jenkins.pub
echo >> jenkins.pub

Answer 7

我做了

ssh-keygen -i -f $sshkeysfile >>> 授权密钥

信用在此处

Answer 8

FWIW，此 BASH 脚本将采用 PEM 或 DER 格式的 X.509 证书或 OpenSSL 公钥文件（也是 PEM 格式）作为第一个参数，并释放 OpenSSH RSA 公钥。 这扩展了上面 @mkalkov 的答案。 要求是 cat、grep、tr、dd、xxd、sed、xargs、文件、uuidgen、base64、openssl (1.0+)，当然还有 bash。 除了 openssl（包含 base64）之外的所有内容都几乎可以保证成为任何现代 Linux 系统上基本安装的一部分，除了 xxd（其中Fedora 显示在 vim-common 包中）。 如果有人想清理它并使其变得更好，请注意讲师。

#!/bin/bash
#
# Extract a valid SSH format public key from an X509 public certificate.
#

# Variables:
pubFile=$1
fileType="no"
pkEightTypeFile="$pubFile"
tmpFile="/tmp/`uuidgen`-pkEightTypeFile.pk8"

# See if a file was passed:
[ ! -f "$pubFile" ] && echo "Error, bad or no input file $pubFile." && exit 1

# If it is a PEM format X.509 public cert, set $fileType appropriately:
pemCertType="X$(file $pubFile | grep 'PEM certificate')"
[ "$pemCertType" != "X" ] && fileType="PEM"

# If it is an OpenSSL PEM-format PKCS#8-style public key, set $fileType appropriately:
pkEightType="X$(grep -e '-BEGIN PUBLIC KEY-' $pubFile)"
[ "$pkEightType" != "X" ] && fileType="PKCS"

# If this is a file we can't recognise, try to decode a (binary) DER-format X.509 cert:
if [ "$fileType" = "no" ]; then
        openssl x509 -in $pubFile -inform DER -noout
        derResult=$(echo $?)
        [ "$derResult" = "0" ] && fileType="DER"
fi

# Exit if not detected as a file we can use:
[ "$fileType" = "no" ] && echo "Error, input file not of type X.509 public certificate or OpenSSL PKCS#8-style public key (not encrypted)." && exit 1

# Convert the X.509 public cert to an OpenSSL PEM-format PKCS#8-style public key:
if [ "$fileType" = "PEM" -o "$fileType" = "DER" ]; then
        openssl x509 -in $pubFile -inform $fileType -noout -pubkey > $tmpFile
        pkEightTypeFile="$tmpFile"
fi

# Build the string:
# Front matter:
frontString="$(echo -en 'ssh-rsa ')"

# Encoded modulus and exponent, with appropriate pointers:
encodedModulus="$(cat $pkEightTypeFile | grep -v -e "----" | tr -d '\n' | base64 -d | dd bs=1 skip=32 count=257 status=none | xxd -p -c257 | sed s/^/00000007\ 7373682d727361\ 00000003\ 010001\ 00000101\ / | xxd -p -r | base64 -w0 )"

# Add a comment string based on the filename, just to be nice:
commentString=" $(echo $pubFile | xargs basename | sed -e 's/\.crt\|\.cer\|\.pem\|\.pk8\|\.der//')"

# Give the user a string:
echo $frontString $encodedModulus $commentString

# cleanup:
rm -f $tmpFile

Answer 9

这对我有用，因为我只能访问公钥：

1. 将 PEM 公钥转换为 PKCS8 兼容的公钥

    openssl x509 -pubkey -noout -in pubcertkey.pem > pubcertkey.pub

2. 将 PKCS8 公钥转换为 ssh-rsa 密钥

    ssh-keygen -i -mPKCS8 -f pubcertkey.pub > pubcertkey-ssh-rsa.pub

Answer 10

请注意，即使是当前的 Win32-OpenSSH 版本似乎也存在阻止此转换发生的错误，如 此专用 GitHub 问题页面。

可以通过以下行为确认问题：

• 命令的输出为空（但未打印错误）：
  
• 在 Windows 事件查看器的“Windows 日志/应用程序”日志下可以找到错误：

唯一的替代方案似乎不使用 Win32-OpenSSH 来执行此特定任务。

Answer 11

针对 Oracle 云实例公钥请求进行测试：

私钥生成（带密码）：

openssl genrsa -des3 -out private.pem 4096

公钥密钥提取：

openssl rsa -in private.pem -pubout -out public.pem

公钥 “ssh-rsa”格式的密钥转换：

ssh-keygen -i -m PKCS8 -f public.pem > public.pub

确保 SSH 文件夹和密钥的权限如下（公钥必须为 644，私钥必须为 400） :

chmod 400 private.pem
chmod 644 public.pem
chmod 644 public.pub

Answer 12

您还可以使用 phpseclib 库

$keyObj = phpseclib3\Crypt\PublicKeyLoader::load($key, $passphrase)
$keyString = $keyObj->getPublicKey()->toString('OpenSSH');

$key 可以是公共或私有字符串。 如果它是一个文件，则只需将其包装在 file_get_contents($key) 中

Answer 13

不要重新发明轮子并使用现有的东西，这对每个人都更好。
我正在使用带有 Puttygen 的 Ubuntu 服务器，这是一个很棒的工具。 有几行，或者只有一行，如果你愿意的话（单行有一些 && 和 ||）：

apt update
apt install -y putty-tools
puttygen "./key-to-convert.pem" -o "./key-in-ssh-openssl.txt" -O public-openssh
cat "./key-in-ssh-openssl.txt"

就这样..

注意：如果可能的话，看看 puttygen 帮助，它有很多很酷的和易于访问的东西。 例如，这些是可以使用 puttygen 使用“-O”选项的输出格式：

1. private output PuTTY private key format (.ppk)
2. private-openssh export OpenSSH private key
3. private-openssh-new export OpenSSH private key (force new格式）
4. private-sshcom export ssh.com 私钥
5. public RFC 4716 / ssh.com 公钥
6. public-openssh OpenSSH 公钥
7. 指纹 输出密钥指纹
8. cert-info 打印证书信息
9. 文本 输出密钥组件为 'name=0x### #'