私钥和公钥位于同一目录中导致 ssh 失败

Question 1

我能够使用不匹配的公钥和私钥重现您的症状。即使两个密钥都经过 authorized_keys 允许，当公钥和私钥不匹配时，登录也会失败。

据我所知，发生了以下情况。

客户端注意到私钥已加密
客户端读取公钥文件
客户端向服务器提供此密钥
服务器接受公钥
客户端提示输入密码
用户输入密码
客户端使用不匹配的私钥继续进行身份验证

当您删除公钥时，客户端会要求输入密码，但不知道服务器是否会接受该密钥。这意味着您最终可能会被要求输入私钥的密码，但最终却发现服务器无论如何都不会接受它。

Answer

我能够使用不匹配的公钥和私钥重现您的症状。即使两个密钥都经过 authorized_keys 允许，当公钥和私钥不匹配时，登录也会失败。

据我所知，发生了以下情况。

客户端注意到私钥已加密
客户端读取公钥文件
客户端向服务器提供此密钥
服务器接受公钥
客户端提示输入密码
用户输入密码
客户端使用不匹配的私钥继续进行身份验证

当您删除公钥时，客户端会要求输入密码，但不知道服务器是否会接受该密钥。这意味着您最终可能会被要求输入私钥的密码，但最终却发现服务器无论如何都不会接受它。

Question 2

这可能是 OpenSSH 的一个错误，或者服务器中的密钥authorized_keys和你的私钥根本不匹配。当身份验证成功时，你会得到

debug1: identity file ./id_rsa type -1

这意味着 OpenSSH 无法在那个阶段加载身份文件（我认为是公钥）。在密钥加载部分的源代码中有以下代码片段（authfile.c）：

/* try ssh2 public key */
pub = key_new(KEY_UNSPEC);
if (key_try_load_public(pub, filename, commentp) == 1)
    return pub;
if ((strlcpy(file, filename, sizeof file) < sizeof(file)) &&
    (strlcat(file, ".pub", sizeof file) < sizeof(file)) &&
    (key_try_load_public(pub, file, commentp) == 1))
    return pub;

这意味着 OpenSSH 将尝试加载-i参数 +“.pub”中给出的内容作为公钥，并成功（如日志中所示）。如果当前目录中没有后缀为“.pub”的公钥，则此操作将失败。稍后，在进行身份验证时（sshconnect2.c）：

/*
 * send a test message if we have the public key. for
 * encrypted keys we cannot do this and have to load the
 * private key instead
 */
    if (id->key && id->key->type != KEY_RSA1) {
        debug("Offering %s public key: %s", key_type(id->key),
            id->filename);
        sent = send_pubkey_test(authctxt, id);
    } else if (id->key == NULL) {
        debug("Trying private key: %s", id->filename);
        id->key = load_identity_file(id->filename);
        if (id->key != NULL) {
            id->isprivate = 1;
            sent = sign_and_send_pubkey(authctxt, id);
            key_free(id->key);
            id->key = NULL;
        }
    }

如果公钥存在，OpenSSH 会将其作为测试消息发送（？），但由于某种原因，该消息会失败。如果没有预加载的公钥，它将尝试私钥并成功。

我不知道为什么会出现公钥失败的情况（如果有时间，我会尝试找出更多原因）。可能.ssh/与其他路径相比，处理的文件存在一些不匹配的情况，或者毕竟您的密钥存在一些不匹配的情况。

Answer