如何将RSA密钥转换为ssh-rsa？

Question

如何将RSA密钥转换为ssh-rsa？

6

我正在尝试使用苹果安全框架将生成的公共RSA密钥转换为SSH。

以下是我用于生成密钥对的代码：

- (void)generatePrivateKey {
    NSDictionary *privateKeyAttr = @{(__bridge id)kSecAttrIsPermanent: @YES,
                                     (__bridge id)kSecAttrApplicationTag: self.privateTag};
    NSDictionary *publicKeyAttr = @{(__bridge id)kSecAttrIsPermanent: @YES,
                                    (__bridge id)kSecAttrApplicationTag: self.publicTag};


    NSDictionary *keyPairAttr = @{(__bridge id)kSecAttrKeySizeInBits: @1024,
                                  (__bridge id)kSecAttrKeyType: (__bridge id)kSecAttrKeyTypeRSA,
                                  (__bridge id)kSecPrivateKeyAttrs: privateKeyAttr,
                                  (__bridge id)kSecPublicKeyAttrs: publicKeyAttr};

    SecKeyRef publicKey;
    SecKeyRef privateKey;

    SecKeyGeneratePair((__bridge CFDictionaryRef)keyPairAttr, &publicKey, &privateKey);
}

- (NSString *)getPublicKey {
    NSString *contents = [self keyForTag:self.publicTag];
    return [NSString stringWithFormat:@"-----BEGIN RSA PUBLIC KEY-----\n%@\n-----END RSA PUBLIC KEY-----", contents];
}

- (NSString *)getPrivateKey {
    NSString *contents = [self keyForTag:self.privateTag];
    return [NSString stringWithFormat:@"-----BEGIN RSA PRIVATE KEY-----\n%@\n-----END RSA PRIVATE KEY-----", contents];
}

- (NSString *)keyForTag:(NSData *)tag {
    NSDictionary *queryKey = @{(__bridge id)kSecClass: (__bridge id)kSecClassKey,
                                      (__bridge id)kSecAttrApplicationTag: tag,
                                      (__bridge id)kSecAttrKeyType: (__bridge id)kSecAttrKeyTypeRSA,
                                      (__bridge id)kSecReturnData: @YES};

    // Get the key bits.
    CFDataRef keyBits;
    OSStatus sanityCheck = SecItemCopyMatching((__bridge CFDictionaryRef)queryKey, (CFTypeRef *)&keyBits);
    NSData *passDat = (__bridge_transfer NSData *)keyBits;

    if (sanityCheck != noErr) {
        passDat = nil;
    }

    NSString *contents = [passDat base64EncodedStringWithOptions:NSDataBase64Encoding64CharacterLineLength];
    return contents;
}

然后我最终得到了这样的私钥：

将此输入到 ssh-keygen 中会生成以下公钥：

$ ssh-keygen -f test.p12 -y
ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAAAgQC7VWIi0kXyx/UCGG91iGqKjohRLIj9hp44Xwd/pIApBHo38/noUeqN07S4oGgx47zZthg3zKFP90eEdKKOXZ0yuQKOy+yB5YAYg7e9FVvxfXCOVrGaZohh37HLUql/bdOzTK6/Upjl0ZZNYpxWyfIZ/8jKCAaTG6BhPQhLmWxCQw==

我的问题是如何使用Apple Security框架或OpenSSH进行ssh-keygen？

更新：

我现在直接使用OpenSSL并获得一个有效的RSA密钥。然而，转换仍然不能正常工作：

- (NSString *)publicKey {
    RSA *rsa = self.rsaPrivateKey;

    // Encode the "ssh-rsa" string
    NSMutableData *sshrsa = [[NSMutableData alloc] init];
    const char start[] = {0, 0, 0, 7, 's', 's', 'h', '-', 'r', 's', 'a'};
    [sshrsa appendBytes:start length:sizeof(start)];

    // Encode the RSA encoding exponent e
    {
        const char *e = BN_bn2dec(rsa->e);
        NSString *length = [NSString stringWithFormat:@"%04lu", strlen(e)] ;
        [sshrsa appendData:[length dataUsingEncoding:NSUTF8StringEncoding]];
        [sshrsa appendBytes:e length:strlen(e)];
    }

    // Encode the RSA modul n
    {
        const char *n = BN_bn2dec(rsa->n);
        NSString *length = [NSString stringWithFormat:@"%04lu", strlen(n)] ;
        [sshrsa appendData:[length dataUsingEncoding:NSUTF8StringEncoding]];
        [sshrsa appendBytes:n length:strlen(n)];
    }

    return [sshrsa base64EncodedStringWithOptions:NSDataBase64EncodingEndLineWithCarriageReturn];;
}

新的钥匙是：

ssh-rsa AAAAB3NzaC1yc2EAAAAG4AAAATYwvdcavn8AALOV1CoAAAAG4HHTGr5/AAAwyNcavn8AAPAq1xq+fwAAkPBhBwEAAAC2hnJUVxt7AO3JLixNzOwBALilG75/AABQsaUbvn8AAJC2pRu+fwAAELGlG75/AABZVMwDAQAAAECupRu+fwAAsJsHXP9/AAAIC7kDAQAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAAHB3QAAAAAAA2IRA8A/wGr5/AAAAUvAavn8AAJBV4xq+fwAAAFLwGr5/AACQc4Ybvn8AAABS8Bq+fwAAAI4CHr5/AACQc4Ybvn8AAJBzhhu+fwAA4DGwG75/AACfAZIEAQAAAABS8Bq+fwAAUACBG75/AAA9j24JAQAAAFAAgRu+fwAAAFLwGr5/AADgMbAbvn8AAAAAAAAAAAAA4A==

这个比它应该的长度要长得多：

ssh-rsa AAAAB3NzaC1yc2EAAAADAQABAAAAgQC+gK0cEEgn/dDk+Sf/AdQtHp2rJoG7DxMuw2hL0+96rdKeixXVXWCE8GqMg7xIU8kSn0lrfcCJDhVBkArmlnlrZDfv1lTItBU7PvV4eDLT+3kApoqYMUmmo/ecDRyAaaOecoVZTl27RZghXcS7yxABlbVhYLzJEywOi46A9yBMFQ==

- btype

1

你能更新一下你最终是如何生成SSH密钥的吗？我也卡在了和你一样的问题上 ;( - Jason Nam

2个回答

0

ssh-keygen 做的任何事情都可能是 SSH 特定的，而 Apple 的安全框架可能无法涵盖这一点。

值得检查 ssh-keygen.c 中的 do_print_public 和 key.c 中的 write_key 做了什么，然后只需复制即可。

或者考虑使用 libssh2 的 libssh2_userauth_publickey_fromfile 函数。

- Marcel Jackwerth

我在我的问题上发布了一个更新，因为它仍然无法工作。我无法弄清楚ssh-keygen在哪里进行转换。当我使用相同的代码时，最终得到完全不同的结果。 - btype

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- dave_thompson_085 · Accepted Answer

至少是部分答案，但我不懂ObjC，所以为了改进而将其设为CW。

注意：这几乎是Convert pem key to ssh-rsa format的重复内容，除了它不是ObjC而是C，并且它从publickey文件而不是privatekey文件开始——但OpenSSL对于RSA密钥的内存结构对于publickey和privatekey是相同的，对于publickey忽略privatekey特定字段。

你的代码（显然）生成一个长度值，用十进制表示为4位数，用十进制表示e和n的大小（因为该值始终为正数，所以没有符号），但是unbase64你发布的输出并没有显示任何这些内容实际上包含在结果中，除了与你的start匹配的正确的初始部分之外，似乎是垃圾，我不知道为什么。你可能需要一些ObjC调试帮助。

无论如何，正确的编码是4字节二进制（bigendian）长度，后跟表示值的二进制 bigendian表示，这需要为范围在2^8k/2到2^8k-1之间的正数添加一个前导零字节；这通常是因为RSA密钥大小通常选择8的倍数（实际上是2的幂或小的倍数）。e很少以这种方式选择，尽管它可以。请参见https://www.rfc-editor.org/rfc/rfc4251#section-5中的“string”和“mpint”。

你可以像#1011572那样调用BN_bn2bin将二进制bigendian大小转换为足够大的缓冲区，然后再将4字节长度、可能的1字节符号和大小编码成另一个足够大的缓冲区。或者OpenSSL实际上可以为你完成其中的大部分工作；使用足够大的缓冲区调用BN_bn2mpi，它将处理长度、可能的符号和大小。

如何在ObjC中分配和管理缓冲区？我留给你或其他人。请注意，长度字段和值部分都可以并且经常会使用零字节作为有效的字节值；它不应被视为终止符或其他特殊字符。一些搜索提示我这可能是NSString的问题，但我很可能是错的。