.\" -*- coding: UTF-8 -*- .\" $OpenBSD: ssh-keygen.1,v 1.209 2020/09/09 03:08:01 djm Exp $ .\" .\" Author: Tatu Ylonen .\" Copyright (c) 1995 Tatu Ylonen , Espoo, Finland .\" All rights reserved .\" .\" As far as I am concerned, the code I have written for this software .\" can be used freely for any purpose. Any derived versions of this .\" software must be clearly marked as such, and if the derived work is .\" incompatible with the protocol description in the RFC file, it must be .\" called by a name other than "ssh" or "Secure Shell". .\" .\" .\" Copyright (c) 1999,2000 Markus Friedl. All rights reserved. .\" Copyright (c) 1999 Aaron Campbell. All rights reserved. .\" Copyright (c) 1999 Theo de Raadt. All rights reserved. .\" .\" Redistribution and use in source and binary forms, with or without .\" modification, are permitted provided that the following conditions .\" are met: .\" 1. Redistributions of source code must retain the above copyright .\" notice, this list of conditions and the following disclaimer. .\" 2. Redistributions in binary form must reproduce the above copyright .\" notice, this list of conditions and the following disclaimer in the .\" documentation and/or other materials provided with the distribution. .\" .\" THIS SOFTWARE IS PROVIDED BY THE AUTHOR ``AS IS'' AND ANY EXPRESS OR .\" IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE IMPLIED WARRANTIES .\" OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE ARE DISCLAIMED. .\" IN NO EVENT SHALL THE AUTHOR BE LIABLE FOR ANY DIRECT, INDIRECT, .\" INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL DAMAGES (INCLUDING, BUT .\" NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS OR SERVICES; LOSS OF USE, .\" DATA, OR PROFITS; OR BUSINESS INTERRUPTION) HOWEVER CAUSED AND ON ANY .\" THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT LIABILITY, OR TORT .\" (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY OUT OF THE USE OF .\" THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF SUCH DAMAGE. .\" .\"******************************************************************* .\" .\" This file was generated with po4a. Translate the source file. .\" .\"******************************************************************* .Dd $Mdocdate: 9. September 2020 $ .Dt SSH-KEYGEN 1 .Os .Sh BEZEICHNUNG .Nm ssh-keygen .Nd Dienstewerkzeug für OpenSSH-Authentifizierungsschlüssel .Sh ÜBERSICHT .Nm ssh-keygen .Op Fl q .Op Fl a Ar Runden .Op Fl b Ar Bits .Op Fl C Ar Kommentar .Op Fl f Ar Ausgabe-Schlüsseldatei .Op Fl m Ar Format . Op Fl N Ar neue_Passphrase .Op Fl O Ar Option .Op Fl t Cm dsa | ecdsa | ecdsa-sk | ed25519 | ed25519-sk | rsa .Op Fl N Ar neue_Passphrase .Op Fl O Ar Option .Op Fl w Ar Anbieter .Nm ssh-keygen .Fl p .Op Fl a Ar Runden .Op Fl f Ar Schlüsseldatei .Op Fl m Ar Format .Op Fl N Ar neue_Passphrase .Op Fl P Ar alte_Passphrase .Nm ssh-keygen .Fl i .Op Fl f Ar Eingabe-Schlüsseldatei .Op Fl m Ar Schlüsselformat .Nm ssh-keygen .Fl e .Op Fl f Ar Eingabe-Schlüsseldatei .Op Fl m Ar Schlüsselformat .Nm ssh-keygen .Fl y .Op Fl f Ar Eingabe-Schlüsseldatei .Nm ssh-keygen .Fl c .Op Fl a Ar Runden .Op Fl C Ar Kommentar .Op Fl f Ar Schlüsseldatei .Op Fl P Ar Passphrase .Nm ssh-keygen .Fl l .Op Fl v .Op Fl E Ar Fingerabdruck-Hash .Op Fl f Ar Eingabe-Schlüsseldatei .Nm ssh-keygen .Fl B .Op Fl f Ar Eingabe-Schlüsseldatei .Nm ssh-keygen .Fl D Ar pkcs11 .Nm ssh-keygen .Fl F Ar Rechnername .Op Fl lv .Op Fl f Ar known_hosts-Datei .Nm ssh-keygen .Fl H .Op Fl f Ar known_hosts-Datei .Nm ssh-keygen .Fl K .Op Fl a Ar Runden .Op Fl w Ar Anbieter .Nm ssh-keygen .Fl R Ar Rechnername .Op Fl f Ar known_hosts-Datei .Nm ssh-keygen .Fl r Ar Rechnername .Op Fl g .Op Fl f Ar Eingabe-Schlüsseldatei .Nm ssh-keygen .Fl M Cm generate .Op Fl O Ar Option .Ar Ausgabedatei .Nm ssh-keygen .Fl M Cm Bildschirm .Op Fl f Ar Eingabedatei .Op Fl O Ar Option .Ar Ausgabedatei .Nm ssh-keygen .Fl I Ar Zertifikatsidentität .Fl s Ar CA-Schlüssel .Op Fl hU .Op Fl D Ar pkcs11-Anbieter .Op Fl n Ar Prinzipale .Op Fl O Ar Option .Op Fl V Ar Gültigkeitsintervall .Op Fl z Ar Seriennummer .Ar .Nm ssh-keygen .Fl L .Op Fl f Ar Eingabe-Schlüsseldatei .Nm ssh-keygen .Fl A .Op Fl a Ar Runden .Op Fl f Ar Präfixpfad .Nm ssh-keygen .Fl k .Fl f Ar KRL-Datei .Op Fl u .Op Fl s Ar CA-öffentlich .Op Fl z Ar Versionsnummer .Ar .Nm ssh-keygen .Fl Q .Op Fl l .Fl f Ar KRL-Datei .Ar .Nm ssh-keygen .Fl Y Cm find-principals .Fl s Ar Signaturdatei .Fl f Ar erlaubte_Signierer-Datei .Nm ssh-keygen .Fl Y Cm check-novalidate .Fl n Ar Namensraum .Fl s Ar Signaturdatei .Nm ssh-keygen .Fl Y Cm sign .Fl f Ar Schlüsseldatei .Fl n Ar Namensraum .Ar .Nm ssh-keygen .Fl Y Cm verify .Fl f Ar erlaubte_Signierer-Datei .Fl I Ar Signierer-Identität .Fl n Ar Namensraum .Fl s Ar Signaturdatei .Op Fl r Ar Sperrdatei .Sh BESCHREIBUNG .Nm erstellt, verwaltet und wandelt Authentifizierungsschlüssel für .Xr ssh 1 um. .Nm kann Schlüssel für den Einsatz von SSH Protokollversion 2 erstellen. .Pp Der Typ des zu erstellenden Schlüssels wird mit der Option .Fl t angegeben. Falls .Nm ohne Argumente aufgerufen wird, erstellt es einen RSA-Schlüssel. .Pp .Nm wird auch zur Erstellung von Gruppen zum Einsatz im Diffie-Hellman-Gruppenaustausch (DH-GEX) verwandt. Siehe den Abschnitt .Sx MODULI-ERSTELLUNG für Details. .Pp Schließlich kann .Nm zur Erstellung und Aktualisierung von Schlüsselsperrlisten verwandt werden und prüfen, ob Schlüssel durch eine solche gesperrt wurden. Siehe den Abschnitt .Sx SCHLÜSSELSPERRLISTEN für Details. .Pp Normalerweise führt jeder Benutzer, der SSH mit asymmetrischer Schlüsselauthentifizierung verwenden möchte, dieses einmal aus, um Authentifizierungsschlüssel in .Pa ~/.ssh/id_dsa , .Pa ~/.ssh/id_ecdsa , .Pa ~/.ssh/id_ecdsa_sk , .Pa ~/.ssh/id_ed25519 , .Pa ~/.ssh/id_ed25519_sk oder .Pa ~/.ssh/id_rsa zu erstellen. Zusätzlich kann der Systemadministrator dies verwenden, um Rechnerschlüssel zu erstellen. .Pp Normalerweise erstellt dieses Programm einen Schlüssel und fragt nach einer Datei, in der der private Schlüssel gespeichert werden soll. Der öffentliche Schlüssel wird in einer Datei mit dem gleichen Namen, aber angehängtem »pub« gespeichert. Das Programm fragt auch nach einer Passphrase. Die Passphrase darf leer sein, um anzuzeigen, dass keine Passphrase verwandt werden soll (Rechnerschlüssel müssen eine leere Passphrase haben) oder sie kann eine Zeichenkette beliebiger Länge sein. Eine Passphrase ist ähnlich einem Passwort, sie kann allerdings eine Phrase mit einer Reihe von Wörtern, Interpunktionszeichen, Zahlen, Leerraum oder jeder von Ihnen gewünschten Zeichenkette enthalten. Gute Passphrasen sind 10-30 Zeichen lang, keine einfachen Sätze oder anderweitig leicht erratbar (englische Ausdrücke haben nur 1-2 Bit an Entropie pro Zeichen und stellen sehr schlechte Passphrasen dar) und enthalten eine Mischung von Groß- und Kleinbuchstaben, Zahlen und nichtalphabetischen Zeichen. Die Passphrase kann später mit der Option .Fl p geändert werden. .Pp Es gibt keine Möglichkeit, eine verlorene Phassphrase wiederzuerlangen. Falls die Passphrase verloren ist oder vergessen wurde, muss ein neuer Schlüssel erstellt und der entsprechende öffentliche Schlüssel auf andere Maschinen kopiert werden. .Pp Standardmäßig wird .Nm Schlüssel in einem OpenSSH-spezifischen Format schreiben. Dieses Format wird bevorzugt, da es besseren Schutz für abgelegte Schlüssel erlaubt sowie ermöglicht, dass Schlüsselkommentare innerhalb der privaten Schlüsseldatei selbst abgespeichert werden. Der Schlüsselkommentar ist zur Identifizierung des Schlüssels nützlich. Der Kommentar wird bei der Erstellung des Schlüssel auf »Benutzer@Rechner« initialisiert, kann aber später mit der Option .Fl c geändert werden. .Pp .Nm kann weiterhin noch private Schlüssel im dem vorher verwandten PEM-Format mittels des Schalters .Fl m schreiben. Dies kann bei der Erstellung neuer Schlüssel und bei der Umwandlung von Schlüsseln im Zusammenspiel mit dem Schalter .Fl p (neue Passphrase) verwandt werden. .Pp Nachdem der Schlüssel erstellt wurde, wird .Nm fragen, wo die Schlüssel zur Aktivierung abgelegt werden sollen. .Pp Folgende Optionen stehen zur Verfügung: .Bl -tag -width Ds .It Fl A Für jeden der Schlüsseltypen (RSA, DSA, ECDSA und ED25519), für die kein Rechner-Schlüssel existiert, wird ein Rechnerschlüssel mit dem Standard-Schlüsseldatei-Pfad, einer leeren Passphrase, den Vorgabe-Bits für den Schlüssel-Typ und dem Standardkommentar erstellt. Falls auch .Fl f angegeben wurde, wird dessen Argument als Präfix für den Vorgabepfad für die entstehende Rechner-Schlüsseldatei verwandt. Dies wird von Systemadministratorskripten zur Erstellung neuer Rechnerschlüssel verwandt. .It Fl a Ar Runden Beim Speichern eines privaten Schlüssels gibt diese Option die Anzahl der verwandten Runden der KDF (Schlüsselableitungsfunktionen) an. Eine höhere Anzahl führt zu einer langsameren Passphrasenbestätigung und erhöhter Widerstandskraft gegen Knacken von Passwörtern mit roher Rechengewalt (falls die Schlüssel gestohlen werden sollten). Die Vorgabe ist 16 Runden. .It Fl B Zeigt die Kurzfassung der angegebenen privaten oder öffentlichen Schlüsseldatei im bubblebabble-Format an. .It Fl b Ar Bits Gibt die Anzahl der Bits in dem zu erstellenden Schlüssel an. Für RSA-Schlüssel ist die minimale Größe 1024 Bit und die Vorgabe ist 3072 Bit. Im Allgemeinen wird 3072 Bit als ausreichend betrachtet. DSA-Schlüssel müssen genau 1024 Bit lang sein, wie dies in FIPS 186-2 spezifiziert ist. Für ECDSA-Schlüssel bestimmt der Schalter .Fl b die Schlüssellänge durch Auswahl aus einer der drei elliptischen Kurvengrößen: 256, 384 oder 521 Bit. Wird versucht, eine andere als eine dieser drei Bitlängen für ECDSA-Schlüssel anzugeben, so führt dies zu einem Fehlschlag. ECDSA-SK-, Ed25519- und Ed25519-SK-Schlüssel haben eine feste Länge und der Schalter .Fl b wird ignoriert. .It Fl C Ar Kommentar Stellt einen neuen Kommentar bereit. .It Fl c Erbittet die Änderung des Kommentars in den Dateien des öffentlichen und privaten Schlüssels. Das Programm bittet um die Angabe der Datei mit den privaten Schlüsseln, die Angabe der Passphrase (falls der Schlüssel eine hat) und um den neuen Kommentar. .It Fl D Ar pkcs11 Lädt die von der dynamischen PKCS#11-Bibliothek .Ar pkcs11 bereitgestellten öffentlichen Schlüssel herunter. Wird dies zusammen mit .Fl s verwandt, zeigt diese Option an, dass sich in einem PKCS#11-Token ein CA-Schlüssel befindet (siehe den Abschnitt .Sx ZERTIFIKATE für Details). .It Fl E Ar Fingerabdruck-Hash Gibt den bei der Anzeige von Schlüssel-Fingerabdrücken zu verwendenden Hash-Algorithmus an. Gültige Optionen sind »md5« und »sha256«. Die Vorgabe ist »sha256«. .It Fl e Diese Option wird eine private und öffentliche OpenSSH-Schlüsseldatei einlesen und auf der Standardausgabe einen öffentlichen Schlüssel in einem der in der Option .Fl m angegebenen Formate ausgeben. Das Vorgabe-Export-Format ist »RFC4716«. Diese Option ermöglicht das Exportieren von OpenSSH-Schlüsseln zur Verwendung in anderen Programmen, einschließlich mehrerer kommerzieller SSH-Implementierungen. .It Fl F Ar Rechnername | [Rechnername]:Port Sucht in einer .Pa known_hosts -Datei nach dem angegebenen .Ar Rechnernamen (mit optionaler Port-Nummer) und zeigt alle Treffer an. Diese Option ist zum Finden von gehashten Rechnernamen oder -adressen nützlich und kann auch im Zusammenspiel mit der Option .Fl H verwandt werden, um gefundene Schlüssel in einem gehashten Format anzuzeigen. .It Fl f Ar Dateiname Gibt den Namen der Schlüsseldatei an. .It Fl g Verwendet bei der Ausgabe von Fingerabdruck-Ressourcen-Datensätzen mittels des Befehls .Fl r das generische DNS-Format. .It Fl H Hasht eine .Pa known_hosts -Datei. Dies ersetzt alle Rechnernamen und Adressen durch gehashten Darstellungen innerhalb der angegebenen Datei; der ursprüngliche Inhalt wird in eine Datei mit der Endung ».old« verschoben. Diese Hashes können von .Nm ssh und .Nm sshd normal verwandt werden, aber sie legen keine identifizierende Informationen offen, sollte der Inhalt der Datei Dritten zugänglich werden. Diese Option verändert bereits existierende gehashte Rechnernamen nicht und kann daher sicher bei Dateien verwandt werden, die sowohl gehashte als auch nicht gehashte Dateinamen enthalten. .It Fl h Beim Signieren eines Schlüssels wird ein Rechner- statt ein Benutzerzertifikat erstellt. Bitte lesen Sie den Abschnitt .Sx ZERTIFIKATE für Details. .It Fl I Ar Zertifikatsidentität Gibt die Identität zum Signieren eines öffentlichen Schlüssels an. Bitte lesen Sie den Abschnitt .Sx ZERTIFIKATE für Details. .It Fl i Diese Option liest eine unverschlüsselte private (oder öffentliche) Schlüsseldatei in dem durch die Option .Fl m angegebenen Format und gibt einen OpenSSH-kompatiblen privaten (oder öffentlichen) Schlüssel auf die Standardausgabe aus. Diese Option erlaubt das Importieren von Schlüsseln aus anderer Software, einschließlich einer Reihe von kommerziellen SSH-Implementierungen. Das Standard-Importformat ist »RFC4716«. .It Fl K Lädt residente Schlüssel von einem FIDO-Authentifikator herunter. Die Dateien der öffentlichen und privaten Schlüssel werden für jeden heruntergeladenen Schlüssel in das aktuelle Verzeichnis geschrieben. Falls mehrere FIDO-Authentifikatoren verbunden sind, werden die Schlüssel von dem ersten angefassten Authentifikator heruntergeladen. .It Fl k Erstellt eine KRL-Datei. In diesem Modus wird .Nm eine KRL-Datei an dem Ort erstellen, der mittels des Schalters .Fl f angegeben ist. Diese Datei wird jede Datei oder jedes Zertifikat sperren, das auf der Befehlszeile vorhanden ist. Zu sperrende Schlüssel/Zertifikate können als Datei des öffentlichen Schlüssels oder in einem der in Abschnitt .Sx SCHLÜSSELSPERRLISTEN beschriebenen Formate angegeben werden. .It Fl L Gibt den Inhalt eines oder mehrerer Zertifikate aus. .It Fl l Zeigt den Fingerabdruck der Datei des angegebenen öffentlichen Schlüssels. Für RSA- und DSA-Schlüssel versucht .Nm , die passende Datei des öffentlichen Schlüssels zu finden und dessen Fingerabdruck auszugeben. Falls dies mit .Fl v kombiniert wird, wird eine künstlerische ASCII-Darstellung des Schlüssels mit dem Fingerabdruck zusammen ausgegeben. .It Fl M Cm generate Erstellt Kandidaten-Parameter für Diffie-Hellman-Gruppenaustausch (DH-GEX), die von den »diffie-hellman-group-exchange-*«-Schlüsselaustauschmethoden verwandt werden. Die durch diese Aktion erstellten Zahlen müssen vor der Verwendung weiterverarbeitet werden. Siehe den Abschnitt .Sx MODULI ERSTELLUNG für weitere Informationen. .It Fl M Cm screen Prüft Kandidatenparameter für den Diffie-Hellman-Gruppenaustausch. Dies akzeptiert eine Liste von Kandidatenzahlen und testet, dass sie sichere (Sophie Germain) Primzahlen mit akzeptierbaren Gruppenerstellern sind. Das Ergebnis dieser Aktion kann zu der Datei .Pa /etc/ssh/moduli hinzugefügt werden. Siehe den Abschnitt .Sx MODULI ERSTELLUNG für weitere Informationen. .It Fl m Ar Schlüsselformat Gibt ein Schlüsselformat zur Schlüsselerstellung, die Konvertierungsoptionen für .Fl i (Import), .Fl e (Export) und die Passphrasenänderungsaktion .Fl p an. Letztere kann zur Umwandlung zwischen den Formaten OpenSSH und PEM für private Schlüssel verwandt werden. Die unterstützten Schlüsselformate sind »RFC4716« (RFC 4716/SSH2 öffentlicher oder privater Schlüssel), »PKCS8« (PKCS8 öffentlicher oder privater Schlüssel) und »PEM« (PEM öffentlicher Schlüssel). Standardmäßig wird OpenSSH neuerstellte private Schlüssel in seinem eigenen Format schreiben, bei der Umwandlung öffentlicher Schlüssel zum Export ist aber das Vorgabeformat »RFC4716«. Wird bei der Erstellung oder Aktualisierung eines unterstützten privaten Schlüsseltyps ein »PEM«-Format gesetzt, dann führt dies dazu, dass der Schlüssel im veralteten PEM-Format für private Schlüssel gespeichert wird. .It Fl N Ar neue_Passphrase Stellt eine neue Passphrase bereit. .It Fl n Ar Prinzipale Gibt einen oder mehrere Prinzipale (Benutzer oder Rechnernamen) an, die in einem Zertifikat beim Signieren eines Schlüssels enthalten sein sollen. Es können mehrere, durch Kommata getrennte Prinzipale angegeben werden. Bitte lesen Sie den Abschnitt .Sx ZERTIFIKATE für Details. .It Fl O Ar Option Gibt eine Schlüssel-/Wert-Option an. Diese sind für die Aktion spezifisch, die .Nm ausführen soll. .Pp Beim Signieren von Zertifikaten kann hier eine der im Abschnitt .Sx ZERTIFIKATE aufgeführten Optionen angegeben werden. .Pp Bei der Erstellung von Moduli oder der Prüfung kann eine der der im Abschnitt .Sx MODULI-ERSTELLUNG aufgeführten Optionen angegeben werden. .Pp Beim Erstellen eines Schlüssels, der sich auf einem FIDO-Authentifikator befinden wird, kann dieser Schalter verwandt werden, um Schlüssel-spezifische Optionen anzugeben. Derzeit werden folgende unterstützt: .Bl -tag -width Ds .It Cm application Setzt die Standard-FIDO-Anwendungs-/Ursprungszeichenkette (»ssh:«) außer Kraft. Das kann nützlich sein, wenn Rechner- oder Domain-spezifische residente Schlüssel erstellt werden. Die angegebene Anwendungszeichenkette muss mit »ssh:« anfangen. .It Cm challenge Ns = Ns Ar Pfad Gibt einen Pfad zu einer Herausforderungszeichenkette an, die an den FIDO-Token während der Schlüsselerstellung übergeben wird. Die Herausforderungszeichenkette kann als Teil eines Außerbandprotokolls zur Schlüsselregistrierung verwandt werden (standardmäßig wird eine zufällige Herausforderung verwandt). .It Cm device Gibt das zu verwendende .Xr fido 4 -Gerät explizit an, statt die Token-Middleware eines auswählen zu lassen. .It Cm no-touch-required Zeigt an, dass der erstellte private Schlüssel keine Berührungsereignisse (Anwesenheit des Benutzers) bei der Erstellung von Signaturen erfordern soll. Beachten Sie, dass .Xr sshd 8 standardmäßig solche Signaturen ablehnen wird, außer dies wird mit einer authorized_keys-Option außer Kraft gesetzt. .It Cm resident Zeigt an, dass der Schlüssel auf dem FIDO-Authentifikator selbst gespeichert werden soll. Residente Schlüssel könnten auf FIDO2-Token unterstützt werden und benötigen typischerweise, dass auf dem Token vor der Erstellung eine PIN gesetzt wird. Residente Schlüssel können von dem Token mittels .Xr ssh-add 1 heruntergeladen werden. .It Cm user Ein Benutzername, der einem residenten Schlüssel zugeordnet werden soll und den standardmäßigen Benutzernamen außer Kraft setzt. Die Angabe eines Benutzernamens könnte bei der Erstellung mehrfacher residenter Schlüssel für den gleichen Anwendungsnamen nützlich sein. .It Cm verify-required Zeigt an, dass dieser private Schlüssel für jede Signatur eine Benutzerüberprüfung benötigen soll. Nicht alle FIDO-Token unterstützen diese Option. Derzeit ist PIN-Authentifizierung die einzige unterstützte Methode, aber in der Zukunft können weitere Methoden unterstützt werden. .It Cm write-attestation Ns = Ns Ar Pfad Kann zum Zeitpunkt der Schlüsselerstellung verwandt werden, um die von FIDO-Token während der Schlüsselerstellung zurückgelieferten Beglaubigungsdaten aufzuzeichnen. Beachten Sie, dass diese Informationen möglicherweise sensitiv sind. Standardmäßig wird diese Information verworfen. .El .Pp Die Option .Fl O kann mehrfach angegeben werden. .It Fl P Ar Passphrase Stellt die (alte) Passphrase bereit. .It Fl p Erbittet die Änderung der Passphrase einer Datei eines privaten Schlüssels, statt einen neuen privaten Schlüssel zu erstellen. Das Programm wird nach der Datei, die den privaten Schlüssel enthält, der alten Passphrase und zweimal nach der neuen Passphrase fragen. .It Fl Q Prüft, ob Schlüssel in einer KRL gesperrt wurden. Falls auch die Option .Fl l angegeben wurde, dann werden die Inhalte der KRL ausgegeben. .It Fl q Bringt .Nm ssh-keygen zum Schweigen. .It Fl R Ar Rechnername | [Rechnername]:Port Entfernt alle Schlüssel aus einer .Pa known_hosts -Datei, die zu dem angegebenen .Ar Rechnernamen (mit optionaler Port-Nummer) gehören. Diese Option ist nützlich, um gehashte Rechner zu löschen (siehe weiter oben die Option .Fl H ) . .It Fl r Ar Rechnername Gibt den SSHFP-Fingerabdruck-Ressourcendatensatz namens .Ar Rechnername für die angegebene Datei des öffentlichen Schlüssels aus. .It Fl s Ar CA-Schlüssel Zertifiziert (signiert) einen öffentlichen Schlüssel mit dem angegebenen CA-Schlüssel. Bitte lesen Sie den Abschnitt .Sx ZERTIFIKATE für Details. .Pp Beim Erstellen einer KRL gibt .Fl s einen Pfad zu einer CA-Datei eines öffentlichen Schlüssel an, der zum direkten Sperren von Zertifikaten über die Schlüsselkennung oder Seriennummer verwandt wird. Siehe den Abschnitt .Sx SCHLÜSSELSPERRLISTEN für Details. .It Fl t Cm dsa | ecdsa | ecdsa-sk | ed25519 | ed25519-sk | rsa Gibt den Typ des zu erstellenden Schlüssels an. Die möglichen Werte sind »dsa«, »ecdsa«, »ecdsa-sk«, »ed25519«, »ed25519-sk« und »rsa«. .Pp Dieser Schalter kann auch dazu verwandt werden, um den gewünschten Signaturtyp beim Signieren von Zertifikaten mittels eines RSA-CA-Schlüssels anzugeben. Die verfügbaren RSA-Signaturvarianten sind »ssh-rsa« (SHA1-Signaturen, nicht empfohlen), »rsa-sha2-256« und »rsa-sha2-512« (die Vorgabe). .It Fl U Wird diese Option in Kombination mit .Fl s verwandt, zeigt sie an, dass sich ein CA-Schlüssel in einem .Xr ssh-agent 1 befindet. Siehe den Abschnitt .Sx ZERTIFIKATE für weitere Informationen. .It Fl u Aktualisiert eine KRL. Wird dies zusammen mit .Fl k angegeben, dann werden auf der Befehlszeile aufgeführte Schlüssel zu der bestehenden KRL hinzugefügt, statt dass eine neue KRL erstellt wird. .It Fl V Ar Gültigkeitsinterval Gibt ein Gültigkeitsintervall beim Signieren eines Zertifikats an. Ein Gültigkeitsintervall kann aus einer einzelnen Zeit bestehen, die angibt, dass das Zertifikat ab jetzt gültig ist und zu dieser Zeit abläuft. Es kann auch aus zwei durch Doppelpunkte getrennten Zeiten bestehen, die ein explizites Zeitintervall anzeigen. .Pp Die Startzeit kann als die Zeichenkette »always« angegeben werden, um anzuzeigen, dass das Zertifikat keine bestimmte Startzeit hat, als Datum im Format YYYYMMDD, als Zeit im Format YYYYMMDDHHMM[SS], als relative Zeit (bezogen auf die aktuelle Zeit), bestehend aus einem Minuszeichen, gefolgt von einem Intervall in dem in Abschnitt ZEITFORMATE in .Xr sshd_config 5 beschriebenen Format. .Pp Die Endzeit kann als ein YYYYMMDD-Datum, eine YYYYMMDDHHMM[SS]-Zeit, eine relative, mit einem Plus-Zeichen beginnende Startzeit oder als die Zeichenkette »forever« angegeben werden, um darauf hinzuweisen, dass das Zertifikat kein Ablaufdatum hat. .Pp Beispiel: »+52w1d« (gültig von jetzt bis in 52 Wochen und einen Tag von jetzt), »-4w:+4w« (gültig von vor vier Wochen bis in vier Wochen von jetzt), »20100101123000:20110101123000« (gültig von 12:30 Uhr am 1. Januar 2010 bis 12:30 Uhr am 1. Januar 2011), »-1d:20110101« (gültig von gestern bis Mitternacht am 1. Januar 2011), »-1m:forever« (gültig von vor einer Minute und niemals ablaufend). .It Fl v Ausführlicher Modus. Führt dazu, dass .Nm Fehlersuchmeldungen über seinen Fortschritt ausgibt. Dies ist für die Fehlersuche bei der Moduli-Erstellung hilfreich. Mehrere .Fl v -Optionen erhöhen die Ausführlichkeit. Das Maximum ist 3. .It Fl w Ar Anbieter Gibt den Pfad zu einer Bibliothek an, die bei der Erstellung von Schlüsseln, die auf FIDO-Authentifikatoren liegen, verwandt werden; dies setzt die Vorgabe des Einsatzes von interner USB-HID-Unterstützung außer Kraft. .It Fl Y Cm find-principals Findet den/die dem öffentlichen Schlüssel einer Signatur, die mit dem Schalter .Fl s bereitgestellt wurde, zugeordneten Prinzipale in einer authorisierten Signierer-Datei, die mit .Fl f angegeben wurde. Das Format der erlaubten Signierer-Datei ist in dem nachfolgenden Abschnitt .Sx ERLAUBTE SIGNIERER beschrieben. Falls eine oder mehrere der passenden Prinzipale gefunden werden, werden diese auf der Standardausgabe ausgegeben. .It Fl Y Cm check-novalidate Überprüft, dass die mit .Nm .Fl Y Cm sign erstellte Signatur eine gültige Struktur hat. Dies validiert nicht, falls die Signatur von einem autorisierten Signierer kommt. Beim Überprüfen einer Signatur akzeptiert .Nm eine Nachricht auf der Standardeingabe und einen Signaturnamensraum mittels .Fl n . Es muss auch eine Datei mit der entsprechenden Signatur mittels des Schalters .Fl s bereitgestellt werden. Erfolgreiche Überprüfung der Signatur wird von .Nm durch Rückgabe eines Exit-Status von Null signalisiert. .It Fl Y Cm sign Signiert eine Datei oder bestimmte Daten mittels eines SSH-Schlüssels kryptographisch. Beim Signieren akzeptiert .Nm auf der Befehlszeile null oder mehr Dateien - falls keine Dateien angegeben sind, dann wird .Nm die auf der Standardeingabe vorhandenen Daten signieren. Signaturen werden auf den Pfad der Eingabedatei (mit angehängtem ».sig«) oder in die Standardausgabe, falls die zu signierende Nachricht von der Standardeingabe gelesen wurde, geschrieben. .Pp Der zum Signieren verwandte Schlüssel wird mittels der Option .Fl f angegeben und kann sich entweder auf einen privaten Schlüssel oder einen öffentlichen Schlüssel, dessen privater Anteil über .Xr ssh-agent 1 verfügbar ist, beziehen. Ein zusätzlicher Signaturnamensraum, der zur Vermeidung von Signaturchaos über verschiedene Anwendungsfelder hinweg eingesetzt wird (z.B. Dateisignierung im Vergleich zu E-Mail-Signierung), muss mit dem Schalter .Fl n angegeben werden. Namensräume sind beliebige Zeichenketten und können Folgendes beinhalten: »file« für die Signatur von Dateien, »email« für die Signatur von E-Mails. Für angepasste Einsatzzwecke wird empfohlen, die Namen gemäß des Musters NAMENSRAUM@IHRE.DOMAIN zu verwenden, um eindeutige Namensräume zu erstellen. .It Fl Y Cm verify Erbittet die Überprüfung einer mit .Nm .Fl Y Cm sign wie oben beschrieben erstellten Signatur. Beim Überprüfen der Signatur akzeptiert .Nm eine Nachricht auf der Standardeingabe und einen Signaturnamensraum mittels .Fl n . Es muss auch eine Datei, die die entsprechende Signatur enthält, mit dem Schalter .Fl s bereitgestellt werden, zusammen mit der Identität des Signierers mittels .Fl I und einer Liste der erlaubten Signierer mit dem Schalter .Fl f . Das Format der Datei der erlaubten Signierer ist in dem nachfolgenden Abschnitt .Sx ERLAUBTE SIGNIERER beschrieben. Eine Datei mit gesperrten Schlüsseln kann mit dem Schalter .Fl r übergeben werden. Die Sperrdatei kann eine KRL oder eine Liste von öffentlichen Schlüsseln, eine pro Datei, sein. Erfolgreiche Überprüfung durch einen autorisierten Signierer wird von .Nm durch eine Rückgabe eines Exit-Status von Null signalisiert. .It Fl y Diese Option liest eine Datei eines privaten Schlüssels im OpenSSH-Format ein und gibt einen öffentlichen OpenSSH-Schlüssel auf die Standardausgabe aus. .It Fl z Ar Seriennummer Gibt eine Seriennummer an, die in das Zertifikat eingebettet werden soll, um dieses Zertifikat von anderen von der gleichen CA zu unterscheiden. Falls der .Ar Seriennummer das Zeichen »+« vorangestellt wird, dann wird die Seriennummer bei jedem auf einer einzelnen Befehlszeile signierten Zertifikat erhöht. Die Vorgabeseriennummer ist Null. .Pp Beim Erstellen einer KRL wird der Schalter .Fl z zur Angabe einer KRL-Versionsnummer verwandt. .El .Sh MODULI-ERSTELLUNG .Nm kann zur Erstellung einer Gruppe für das Diffie-Hellman-Gruppen-Austausch-Protokoll (DH-GEX) verwandt werden. Das Erstellen ist ein zweistufiger Prozess: zuerst werden mögliche Primzahlen mittels eines schnellen, aber speicherintensiven Prozesses erstellt. Diese Kandidatenprimzahlen werden dann auf Eignung geprüft (ein CPU-intensiver Prozess). .Pp Die Erstellung von Primzahlen wird mit der Option .Fl M Cm generate durchgeführt. Die gewünschte Länge der Primzahlen kann mit der Option .Fl O Cm bits angegeben werden. Beispiel: .Pp .Dl # ssh-keygen -M generate -O bits=2048 moduli-2048.candidates .Pp Standardmäßig beginnt die Suche nach Primzahlen an einem Zufallspunkt in dem gewünschten Längenbereich. Dies kann mit der Option .Fl O Cm start außer Kraft gesetzt werden, die (in hexadezimaler Notation) einen anderen Startpunkt angibt. .Pp Sobald eine Kandidatengruppe erstellt wurde, muss sie auf Eignung überprüft werden. Dies kann mit der Option .Fl M Cm screen erfolgen. In diesem Modus wird .Nm Kandidaten von der Standardeingabe (oder einer mit der Option .Fl f angegebenen Datei) einlesen. Beispiel: .Pp .Dl # ssh-keygen -M screen -f moduli-2048.candidates moduli-2048 .Pp Standardmäßig unterliegt jeder Kandidat 100 Primzahlentests. Dies kann mit der Option .Fl O Cm prime-tests außer Kraft gesetzt werden. Der DH-Erstellerwert wird für die in Untersuchung befindliche Primzahl automatisch ausgewählt. Falls ein bestimmter Ersteller gewünscht ist, kann er mit der Option .Fl O Cm generator erbeten werden. Gültige Erstellerwerte sind 2, 3 und 5. .Pp Geprüfte DH-Gruppen können in .Pa /etc/ssh/moduli installiert werden. Es ist wichtig, dass diese Datei Moduli eines Bereichs von Bitlängen enthält und dass beide Enden einer Verbindung gemeinsame Moduli verwenden. .Pp Für die Moduli-Erstellung und -Überprüfung sind eine Reihe von Optionen mittels des Schalters .Fl O verfügbar: .Bl -tag -width Ds .It Ic lines Ns = Ns Ar Anzahl Beendet sich nach der Überprüfung der angegebenen Anzahl von Zeilen bei der Durchführung der DH-Kandidatenprüfung. .It Ic start-line Ns = Ns Ar Zeilennummer Beginnt die Überprüfung bei der angegebenen Zeilennummer bei der Durchführung der DH-Kandidatenprüfung. .It Ic checkpoint Ns = Ns Ar Dateiname Schreibt die letzte verarbeitete Zeile in die angegebene Datei bei der Durchführung der DH-Kandidatenprüfung. Dies wird dazu verwandt, Zeilen in der Eingabedatei zu überspringen, die bereits verarbeitet wurden, wenn der Auftrag erneut gestartet wird. .It Ic memory Ns = Ns Ar Megabyte Gibt die für die Erstellung von Moduli für DH-GEX zu verwendende Speichermenge (in Megabyte) an. .It Ic start Ns = Ns Ar Hexadezimalwert Gibt (in hexadezimaler Notation) den Startpunkt bei der Erstellung für Kandiaten-Moduli für DH-GEX an. .It Ic generator Ns = Ns Ar Wert Gibt den gewünschten Ersteller (in dezimaler Darstellung) bei dem Testen von Kandidaten-Moduli für DH-GEX an. .El .Sh ZERTIFIKATE .Nm unterstützt das Signieren von Schlüsseln, um Zertifikate zu erstellen, die für Benutzer- oder Rechnerauthentifizierung verwandt werden können. Zertifikate bestehen aus einem öffentlichen Schlüssel, einigen Identitätsinformationen, einem oder mehreren Prinzipal- (Benutzer- oder Rechner-)Namen und einer Reihe von Optionen, die mittels des Schlüssels einer Zertifizierungsstelle (CA) unterschrieben sind. Clients oder Server brauchen dann nur dem CA-Schlüssel zu vertrauen und ihre Signatur auf einem Zertifikat zu prüfen, statt vielen Benutzer-/Rechnerschlüsseln zu vertrauen. Beachten Sie, dass OpenSSH-Schlüssel in einem anderen und viel einfacheren Format als die in .Xr ssl 8 verwandten X.509-Zertifikate sind. .Pp .Nm unterstützt zwei Arten von Zertifikaten: Benutzer und Rechner. Benutzerzertifikate authentifizieren Benutzer gegenüber Servern, während Rechnerzertifikate Serverrechner gegenüber Benutzern authentifizieren. Um ein Benutzerzertifikat zu erstellen, geben Sie Folgendes ein: .Pp .Dl $ ssh-keygen -s /Pfad/zum/CA-Schlüssel -I key_id /Pfad/zum/Benutzerschlüssel.pub .Pp Das entstandene Zertifikat wird unter .Pa /Pfad/zum/Benutzerschlüssel-Zert.pub abgelegt. Ein Rechnerzertifikat benötigt die Option .Fl h : .Pp .Dl $ ssh-keygen -s /Pfad/zum/CA-Schlüssel -I key_id -h /Pfad/zum/Rechnerschlüssel.pub .Pp Das Rechnerzertifikat wird in .Pa /Pfad/zum/Rechnerschlüssel-cert.pub ausgegeben. .Pp Es ist möglich, mittels eines in einem PKCS#11-Token gespeicherten CA-Schlüssel zu unterschreiben, indem die Token-Bibliothek mittels .Fl D und die öffentliche Hälfte des kennzeichnenden CA-Schlüssels mit dem Argument von .Fl s bereitgestellt wird: .Pp .Dl $ ssh-keygen -s CA-Schlüssel.pub -D libpkcs11.so -I Schlüsselkennung Benutzerschlüssel.pub .Pp Entsprechend ist es möglich, dass der CA-Schlüssel in einem .Xr ssh-agent 1 bereitgestellt wird. Dies wird durch den Schalter .Fl U angezeigt und auch hier muss der CA-Schlüssel durch seinen öffentlichen Anteil identifiziert werden. .Pp .Dl $ ssh-keygen -Us CA-Schlüssel.pub -I Schlüsselkennung Benutzerschlüssel.pub .Pp In allen Fällen ist die .Ar Schlüsselkennung ein »Schlüsselkennzeichner«, der durch den Server protokolliert wird, wenn das Zertifikat zur Authentifizierung verwandt wird. .Pp Zertifikate können in ihrer Gültigkeit auf eine Reihe Prinzipalennamen (Benutzer/Rechner) beschränkt werden. Standardmäßig sind erstellte Zertifikate für alle Benutzer oder Rechner gültig. Um ein Zertifikat für eine bestimmte Gruppe von Prinzipalen zu erstellen, verwenden Sie Folgendes: .Pp .Dl $ ssh-keygen -s CA-Schlüssel -I Schlüsselkennung -n Benutzer1,Benutzer2 Benutzerschlüssel.pub .Dl "$ ssh-keygen -s CA-Schlüssel -I Schlüsselkennung -h -n Rechner.Domain Rechnerschlüssel.pub" .Pp Zusätzliche Beschränkungen für die Gültigkeit und den Einsatz von Benutzerzertifikaten können durch Zertifikatsoptionen angegeben werden. Eine Zertifikatsoption kann Funktionalitäten von der SSH-Sitzung deaktivieren, kann nur bei dem Einsatz von bestimmten Quelladressen gültig sein oder kann die Ausführung eines bestimmten Befehls erzwingen. .Pp Die für Benutzerzertifikate gültigen Optionen sind: .Pp .Bl -tag -width Ds -compact .It Ic clear Setzt alle aktivierten Berechtigungen zurück. Dies ist nützlich, um die Vorgabemenge an Berechtigungen zurückzusetzen, so dass Berechtigungen individuell hinzugefügt werden können. .Pp .It Ic critical : Ns Ar Name Ns Op Ns = Ns Ar Inhalte .It Ic extension : Ns Ar Name Ns Op Ns = Ns Ar Inhalte Enthält eine beliebige kritische Zertifikatsoption oder -Erweiterung. Der angegebene .Ar Name sollte eine Domain-Endung enthalten, z.B.\& »name@example.com«. Falls .Ar Inhalte angegeben sind, dann werden sie als Inhalte der Erweiterung/Option (kodiert als Zeichenkette) aufgenommen, andernfalls wird die Erweiterung/Option ohne Inhalte erstellt, was normalerweise einen Schalter anzeigt. Erweiterungen können von einem Client oder Server, der diese nicht erkennt, ignoriert werden, während kritische Optionen dazu führen werden, dass das Zertifikat abgelehnt wird. .Pp .It Ic force-command Ns = Ns Ar Befehl Erzwingt die Ausführung von .Ar Befehl statt einer von einem Benutzer angegebene Shell oder eines Befehls, wenn das Zertifikat zur Authentifizierung verwandt wird. .Pp .It Ic no-agent-forwarding Deaktiviert .Xr ssh-agent 1 -Weiterleitung (standardmäßig erlaubt). .Pp .It Ic no-port-forwarding Deaktiviert Port-Weiterleitung (standardmäßig erlaubt). .Pp .It Ic no-pty Deaktiviert PTY-Zuweisung (standardmäßig erlaubt). .Pp .It Ic no-user-rc Deaktiviert Ausführung von .Pa ~/.ssh/rc durch .Xr sshd 8 (standardmäßig erlaubt). .Pp .It Ic no-x11-forwarding Deaktiviert X11-Weiterleitung (standardmäßig erlaubt). .Pp .It Ic permit-agent-forwarding Erlaubt die .Xr ssh-agent 1 -Weiterleitung. .Pp .It Ic permit-port-forwarding Erlaubt die Port-Weiterleitung. .Pp .It Ic permit-pty Erlaubt PTY-Zuweisung. .Pp .It Ic permit-user-rc Erlaubt die Ausführung von .Pa ~/.ssh/rc durch .Xr sshd 8 . .Pp .It Ic permit-X11-forwarding Erlaubt die X11-Weiterleitung. .Pp .It Ic no-touch-required Es wird nicht verlangt, dass mit diesem Schlüssel erfolgte Signaturen den Nachweis der Anwesenheit des Benutzers enthalten (z.B. indem der Benutzer den Authentifikator berührt). Diese Option ergibt nur für FIDO-Authentifikatoralgorithmen .Cm ecdsa-sk und .Cm ed25519-sk Sinn. .Pp .It Ic source-address Ns = Ns Ar Adressenliste Beschränkt die Quelladressen, aus der Zertifikate als gültig betrachtet werden. Die .Ar Adressenliste ist eine Kommata-getrennte Liste von einen oder mehreren Adresse/Netzmaske-Paaren im CIDR-Format. .Pp .It Ic verify-required Es wird verlangt, dass mit diesem Schlüssel erfolgte Signaturen anzeigen, dass der Benutzer zuerst überprüft wurde. Diese Option ergibt nur für FIDO-Authentifikatoralgorithmen .Cm ecdsa-sk und .Cm ed25519-sk Sinn. Derzeit ist PIN-Authentifizierung die einzige unterstützte Überprüfungsmethode, aber andere Methoden könnten in der Zukunft unterstützt werden. .El .Pp Derzeit sind für Rechnerschlüssel keine Standardoptionen gültig. .Pp Schließlich können Zertifikate mit einer Gültigkeitslebensdauer definiert werden. Die Option .Fl V erlaubt die Angabe von Start- und Endzeiten des Zertifikats. Ein Zertifikat, das außerhalb dieses Bereichs vorgewiesen wird, wird nicht als gültig betrachtet. Standardmäßig sind Zertifikate von der .Ux -Epoche bis zur fernen Zukunft gültig. .Pp Damit Zertifikate zur Benutzer- oder Rechnerauthentifizierung verwandt werden können, muss dem öffentlichen Schlüssel der CA durch .Xr sshd 8 oder .Xr ssh 1 vertraut werden. Bitte lesen Sie deren Handbuchseiten für Details. .Sh SCHLÜSSELSPERRLISTEN .Nm kann SCHLÜSSELSPERRLISTEN (KRLs) im OpenSSH-Format verwalten. Diese Binärdateien geben Schlüssel oder Zertifikate, die gesperrt werden sollen, in einem kompakten Format an, wobei nur ein Bit pro Zertifikat benötigt wird, falls das Sperren über die Seriennummer erfolgt. .Pp KRLs können mit dem Schalter .Fl k erstellt werden. Diese Option liest eine oder mehrere Dateien von der Befehlszeile ein und erstellt eine neue KRL. Die Dateien können entweder eine KRL-Spezifikation (siehe unten) oder öffentliche Schlüssel, einen pro Zeile, enthalten. Einfache öffentliche Schlüssel werden gesperrt, indem ihr Hash oder Inhalt in der KRL aufgeführt werden und Zertifikate werden über die Seriennummer oder die Schlüsselkennung (falls die Seriennummer Null oder nicht verfügbar ist) gesperrt. .Pp Das Sperren von Schlüsseln mit einer KRL-Spezifikation ermöglicht die genaue Steuerung über die Arten von Datensätzen, die zum Sperren von Schlüsseln verwandt werden, und kann verwendet werden, um Zertifikate direkt über die Seriennummer oder Schlüsselkennung zu sperren, ohne dass das vollständige Zertifikat vorliegen muss. Eine KRL-Spezifikation besteht aus Zeilen, die eine oder mehrere der nachfolgenden Direktiven, gefolgt von einem Doppelpunkt und einigen Direktiven-spezifischen Informationen, enthalten. .Bl -tag -width Ds .It Cm serial : Ar Seriennummer Ns Op - Ns Ar Seriennummer Sperrt ein Zertifikat mit der angegebenen Seriennummer. Seriennummern sind 64-Bit-Werte, ohne Nullen und können dezimal, hexadezimal oder oktal angegeben werden. Falls zwei durch Bindestriche getrennte Seriennummern angegeben sind, dann wird der Seriennummernbereich, einschließlich und zwischen ihnen gesperrt. Der CA-Schlüssel muss auf der Befehlszeile von .Nm mit der Option .Fl s angegeben worden sein. .It Cm id : Ar Schlüsselkennung Sperrt ein Zertifikat mit der angegebenen Schlüsselkennungszeichenkette. Der CA-Schlüssel muss auf der Befehlszeile von .Nm mit der Option .Fl s angegeben worden sein. .It Cm key : Ar öffentlicher_Schlüssel Sperrt den angegebenen Schlüssel. Falls ein Zertifikat aufgeführt ist, dann wird es als einfacher öffentlicher Schlüssel gesperrt. .It Cm sha1 : Ar öffentlicher_Schlüssel Sperrt den angegebenen Schlüssel durch Aufnahme seines SHA1-Hashes in die KRL. .It Cm sha256 : Ar öffentlicher_Schlüssel Sperrt den angegebenen Schlüssel durch Aufnahme seines SHA256-Hashes in die KRL. KRLs, die Schlüssel durch SHA256-Hashes sperren, werden von OpenSSH-Versionen vor 7.9 nicht unterstützt. .It Cm hash : Ar Fingerabdruck Sperrt einen Schlüssel mittels eines Fingerabdruck-Hashes, wie er von einer .Xr sshd 8 -Authentifizierungs-Protokollnachricht oder dem Schalter .Fl l von .Nm erlangt werden kann. Hier werden nur SHA256-Fingerabdrücke unterstützt und resultierende KRLs werden von OpenSSH-Versionen vor 7.9 nicht unterstützt. .El .Pp KRLs können zusätzlich zu .Fl k auch mit dem Schalter .Fl u aktualisiert werden. Wird diese Option angegeben, werden die auf der Befehlszeile aufgeführten Schlüssel mit der KRL zusammengeführt, wobei die dort befindlichen hinzugefügt werden. .Pp Liegt eine KRL vor, ist es auch möglich, zu prüfen, ob es einen oder mehrere bestimmte(n) Schlüssel sperrt. Der Schalter .Fl Q wird eine bestehende KRL befragen und jeden auf der Befehlszeile übergebenen Schlüssel testen. Falls ein auf der Befehlszeile aufgeführter Schlüssel gesperrt wurde (oder ein Fehler auftrat), dann wird .Nm sich mit einem von Null verschiedenen Exit-Status beenden. Der Exit-Status 0 wird nur zurückgeliefert, falls kein Schlüssel gesperrt wurde. .Sh ERLAUBTE SIGNIERER Bei der Überprüfung von Signaturen verwendet .Nm eine einfache Liste von Identitäten und Schlüsseln, um zu bestimmen, ob eine Signatur von einer autorisierten Quelle kommt. Diese »erlaubte Signierer«-Datei verwendet ein Format, das dem Muster des in »AUTHORIZED_KEYS-DATEIFORMAT« in .Xr sshd 8 beschriebenen Formats folgt. Jede Zeile der Datei enthält die folgenden, durch Leerraum getrennten Felder: Prinzipale, Optionen, Schlüsseltyp, Schlüssel (Base64-kodiert), leere Zeilen und solche, die mit einem .Ql # beginnen, werden als Kommentare ignoriert. .Pp Das Prinzipale-Feld ist eine Musterliste (siehe MUSTER in .Xr ssh_config 5 ) , die aus einem oder mehreren, durch Kommata getrennten BENUTZER@DOMAIN-Identitätsmustern, die zum Signieren akzeptiert werden, besteht. Beim Überprüfen muss die mittels der Option .Fl I präsentierten Identitäten auf das Prinzipalenmuster passen, damit der entsprechende Schlüssel als für die Überprüfung akzeptierbar betrachtet wird. .Pp Falls Optionen vorhanden sind, werden diese durch Kommata getrennt angegeben. Leerzeichen sind nur innerhalb doppelter englischer Anführungszeichen erlaubt. Die folgenden Optionsangaben werden unterstützt (beachten Sie, dass bei Optionsschlüsselwörtern die Groß-/Kleinschreibung egal ist): .Bl -tag -width Ds .It Cm cert-authority Zeigt an, dass dieser Schlüssel als Zertifizierungsstelle (CA) akzeptiert ist und dass Zertifikate, die von dieser CA signiert wurden, zur Überprüfung akzeptiert werden. .It Cm namespaces="Namensraumliste" Gibt eine Musterliste von Namensräumen an, die für diesen Schlüssel akzeptiert werden. Falls diese Option vorhanden ist, muss der in dem Signaturobjekt eingebettete und auf der Befehlszeile zur Überprüfung angegegebene Signaturnamensraum auf die angegebene Liste passen, bevor der Schlüssel als akzeptierbar betrachtet wird. .El .Pp Bei der Überprüfung von durch Zertifikaten erstellten Signaturen muss der Prinzipalenname sowohl auf das Prinzipalenmuster in der Datei der erlaubten Signierer als auch auf die im Zertifikat eingebetteten Prinzipale passen. .Pp Ein Beispiel für eine Datei erlaubter Signierer: .Bd -literal -offset 3n # Kommentare am Anfang der Zeile erlaubt Benutzer1@example.com,Benutzer2@example.com ssh-rsa AAAAX1… # Eine Zertifikatsautorität, der für alle Prinzipale in einer Domain vertraut wird. *@example.com cert-authority ssh-ed25519 AAAB4… # Ein Schlüssel, der nur für Dateisignaturen akzeptiert wird. Benutzer2@example.com namespaces="file" ssh-ed25519 AAA41… .Ed .Sh UMGEBUNGSVARIABLEN .Bl -tag -width Ds .It Ev SSH_SK_PROVIDER Gibt einen Pfad zu einer Bibliothek an, die beim Laden jedes FIDO-Authentifikator-basierten Schlüssels verwandt wird. Dies setzt die standardmäßige, eingebaute USB-HID-Unterstützung außer Kraft. .El .Sh DATEIEN .Bl -tag -width Ds -compact .It Pa ~/.ssh/id_dsa .It Pa ~/.ssh/id_ecdsa .It Pa ~/.ssh/id_ecdsa_sk .It Pa ~/.ssh/id_ed25519 .It Pa ~/.ssh/id_ed25519_sk .It Pa ~/.ssh/id_rsa Enthält die DSA-, ECDSA-, Authentifikator-basierte ECDSA-, Ed25519-, Authentifikator-basierte Ed25519- oder RSA-Authentifizierungsidentität des Benutzers. Diese Datei sollte nur durch den Benutzer lesbar sein. Es ist möglich, bei der Erstellung eines Schlüssels eine Passphrase anzugeben; diese Passphrase wird zur Verschlüsselung des privaten Anteils der Datei mittels 128-Bit AES verwandt. .Nm greift nicht automatisch auf diese Datei zu, sie wird aber als die Vorgabedatei für den privaten Schlüssel angeboten. .Xr ssh 1 wird diese Datei lesen, wenn ein Anmeldeversuch erfolgt. .Pp .It Pa ~/.ssh/id_dsa.pub .It Pa ~/.ssh/id_ecdsa.pub .It Pa ~/.ssh/id_ecdsa_sk.pub .It Pa ~/.ssh/id_ed25519.pub .It Pa ~/.ssh/id_ed25519_sk.pub .It Pa ~/.ssh/id_rsa.pub Enthält den öffentlichen DSA-, ECDSA-, Authentifikator-basierten ECDSA-, Ed25519-, Authentifikator-basierten Ed25519- oder RSA-Schlüssel zur Authentifizierung. Der Inhalt dieser Datei sollte auf allen Maschinen, auf denen sich der Benutzer mittels Authentifizierung mit öffentlichen Schlüsseln anmelden möchte, zu .Pa ~/.ssh/authorized_keys hinzugefügt werden. Es ist nicht notwendig, die Inhalte dieser Dateien geheimzuhalten. .Pp .It Pa /etc/ssh/moduli Enthält Diffie-Hellman-Gruppen zur Verwendung mit DH-GEX. Das Dateiformat ist in .Xr moduli 5 beschrieben. .El .Sh SIEHE AUCH .Xr ssh 1 , .Xr ssh-add 1 , .Xr ssh-agent 1 , .Xr moduli 5 , .Xr sshd 8 .Rs .%R RFC 4716 .%T »Das Format der öffentlichen Schlüssel der Secure Shell (SSH)« .%D 2006 .Re .Sh AUTOREN OpenSSH ist eine Ableitung der ursprünglichen und freien SSH-1.2.12-Veröffentlichung durch .An Tatu Ylonen . .An Aaron Campbell, Bob Beck, Markus Friedl, Niels Provos, Theo de Raadt und .An Dug Song entfernten viele Fehler, fügten neuere Funktionalitäten wieder hinzu und erstellten OpenSSH. .An Markus Friedl steuerte die Unterstützung für SSH-Protokollversion 1.5 und 2.0 bei. .Pp .Sh ÜBERSETZUNG Die deutsche Übersetzung dieser Handbuchseite wurde von Helge Kreutzmann erstellt. .Pp Diese Übersetzung ist Freie Dokumentation; lesen Sie die .Lk https://www.gnu.org/licenses/gpl-3.0.html GNU General Public License Version 3 oder neuer bezüglich der Copyright-Bedingungen. Es wird KEINE HAFTUNG übernommen. .Pp Wenn Sie Fehler in der Übersetzung dieser Handbuchseite finden, schicken Sie bitte eine E-Mail an die Mailingliste der Übersetzer: .Mt debian-l10n-german@lists.debian.org .Me .