SSH DSA 密钥不再适用于无密码身份验证

Question

升级到 Fedora 23 后，无密码（基于公钥）身份验证在 SSH 中不再有效：当尝试通过 SSH 连接到某个主机时，它会提示我在远程主机上输入密码。我无法让它使用我的 SSH 私钥。Fedora 22 一切正常。

我的公钥是 DSA 密钥 ( ~/.ssh/id_dsa.pub)。我正在使用 OpenSSH 7.1 ( openssh-7.1p1-5.fc23.x86_64)。

如何让无密码身份验证再次正常工作？

Answer 1

这是升级到 OpenSSH 7.0 的结果。正如OpenSSH 7.0的发行说明所说，“默认情况下在运行时禁用对 ssh-dss 主机和用户密钥的支持”。

解决方案是~/.ssh/config在每台客户端机器（运行 SSH 客户端的每台机器）上添加以下行：

PubkeyAcceptedKeyTypes=+ssh-dss

如果服务器使用 OpenSSH 7.0 或更新版本，您还需要/etc/ssh/sshd_config在每台服务器机器上添加这一行。

或者，您可以生成一个全新的 SSH 密钥并将其添加到您想要登录的每台服务器上的 authorized_keys 文件中。 我建议您使用 RSA，以避免兼容性问题。我不推荐 ECDSA，因为显然gnome-keyring-daemon 不会自动获取ECDSA 类型的 SSH 密钥。

编者按：为什么 OpenSSH 的人禁用了 DSA 密钥？我不知道。据我所知，DSA 密钥 (ssh-dss) 的安全性没有问题。在OpenSSH的网页声称，SSH-DSS较弱，但据我所知，1024位SSH-DSS是不超过1024位RSA弱，和1024位RSA密钥未禁用。