Dropbear перестал принимать мой SSH-ключ
У меня есть два Raspberry Pi, оба работают под управлением Raspbian Buster, оба настроены на полное шифрование диска и Dropbear (версия 2018.76-5) для поддержки удаленной разблокировки шифрования диска. Это работает нормально уже много лет. Однако недавно dropbear перестал принимать мой SSH-ключ, и теперь я получаю
root@<address>: Permission denied (publickey).
когда я пытаюсь разблокировать удаленно. Я не вносил никаких изменений в конфигурацию. Содержимое файла авторизованных_ключей в initramfs правильное. Самое последнее свидетельство успешного выполнения удаленной разблокировки, которое я смог найти, датировано 10 марта для обоих RP. Действительно странно, но дата изменения initramfs подтверждает, что файл initramfs не менялся с момента последней успешной удаленной разблокировки! В частности, на RPi, над которым я сейчас работаю, 10 марта initramfs был восстановлен в 09:38 после обновления ядра (и с тех пор не изменялся), RPi был перезагружен в 09:40 и успешно удаленно разблокирован в 09. :44.
Редактировать: теперь я экспериментировал с созданием новых ключей SSH DSA, ECDSA, ED25519, 2048-битных RSA, 3072-битных RSA и 4096-битных RSA, а также добавлением их всех в файл авторизованных_ключей и повторной генерацией initramfs. Сделав это, я могу подключиться с помощью ключа ECDSA, но не с другими ключами. Раньше я использовал 2048-битный ключ RSA с одним RPi и 3072-битный ключ RSA с другим RPi. Итак, исходя из моего опыта, похоже, что Dropbear прекратил принимать 2048- и 3072-битные ключи RSA (и, возможно, некоторые другие типы) в какой-то момент между 10 марта 2022 года и 12 июня 2022 года (когда я впервые обнаружил, что не могу подключиться), без каких-либо обновлений двоичных файлов или конфигурации dropbear?!?
1 ответ
Dropbear — это реализация OpenSSH. Я столкнулся с аналогичной проблемой примерно в то же время после обновления Bullseye, когда OpenSSH (думаю, начиная с версии 7) перестал поддерживать типы ключей RSA. Мне пришлось изменить тип ключа на более современный шифр. Я перешел на Ed25519, и теперь он работает так, как ожидалось. Хотя я не использовал Dropbear в своем случае, я подозреваю, что в вашем случае это основная причина.