HTML5 SSH 开发备忘录 -- PKIXSSH

如果要支持x509v3-ecdsa-sha2-nistp* 类型的Hostkey，现有的openssh是不支持的。PKIXSSH就是在OpenSSH的基础上对x509类型的Host可以进行了支持。PKIXSSH 传送门
下面记录一下如何安装和配置PKIXSSH

下载与安装

系统为CentOS

> wget http://roumenpetrov.info/secsh/src/pkixssh-10.2.tar.gz
> tar xzf pkixssh-10.2.tar.gz
> cd pkixssh-10.2
> yum install gcc
> yum install zlib-devel
> yum install openssl-devel
> yum install make
> yum install automake
> ./configure --prefix=/opt/pkixssh --enable-openssl-fips --enable-pkcs11
> make
> make install

生成Hostkey

ssh-keygen 可以生成ecdsa类型的Hostkey：

> ssh-keygen -t ecdsa -b 384
> ssh-keygen -t ecdsa -b 521

但是，想要生成x509v3-ecdsa-sha2-nistp*类型的HostKey，需要openssl

> openssl ecparam -list_curves

上面这条命令，列出了openssl支持的ECC的类型以及名称，在后面生成是需要用到其中的名称

> openssl ecparam -name secp384r1 -genkey -param_enc explicit -out 394-priv.pem
> openssl req -new -x509 -key 384-priv.pem -out 384-pub.pem -days 730
> cat 384-priv.pem 384-pub.pem > id_ecdsa.384

上面命令中的secp384r1就是在list_curves中列出的名称。
注意，在用PKIXSSH的时候，需要把private和public合并成一个文件。

配置

用vim打开sshd_config进行配置：

HostKey /root/.ssh/x509.ecdsa/id_ecdsa.384

X509KeyAlgorithm x509v3-ecdsa-sha2-nistp384,sha384,ecdsa-sha2-nistp384

启动与调试

/opt/pkixssh/sbin/sshd -D

参考链接

1) Creating Self-Signed ECDSA SSL Certificate using OpenSSL