[Fedora] SSH ignoriert -o hostkeyalgorithms=ssh-rsa

[Marco Moock]

Hello zusammen!

Auf Debian mit OpenSSH_9.7p1/OpenSSL 3.1.5 geht es.
Auf Fedora mit OpenSSH_9.3p1/OpenSSL 3.1. nicht.

[***@fedora ~]$ ssh ***@example.org
-o kexalgorithms=diffie-hellman-group-exchange-sha1
-o hostkeyalgorithms=ssh-rsa

Unable to negotiate with 2001:db8::
port 22: no matching host key type found. Their offer: ssh-rsa
[***@fedora ~]$

Mit -v
[...]
debug1: SSH2_MSG_KEXINIT sent
debug1: SSH2_MSG_KEXINIT received
debug1: kex: algorithm: diffie-hellman-group-exchange-sha1
debug1: kex: host key algorithm: (no match)
Unable to negotiate with 2001:db8 port 22: no matching host key type
found. Their offer: ssh-rsa
[***@fedora ~]$

An der Syntax liegt es nicht, wenn ich da Fehler einbaue gibt es eine
klare Fehlermeldung.

Ist das ein Fehler bei mir oder im OpenSSH?

[Clemens Schüller]

Servus!

Post by Marco Moock
An der Syntax liegt es nicht, wenn ich da Fehler einbaue gibt es eine
klare Fehlermeldung.
Ist das ein Fehler bei mir oder im OpenSSH?

Vielleicht ein verwaister Eintrag in der ~/.ssh/config?

Hatte ich auch mal - dachte nicht daran und hab mir einen Wolf gesucht xD

[Marco Moock]

Post by Clemens Schüller
Vielleicht ein verwaister Eintrag in der ~/.ssh/config?

Gibt es bei mir nicht (ist gerade eine Test-VM). Auf dem Laptop
vermutlich auch nicht. da das gleiche Verhalten.

[Michael Ablassmeier]

Post by Marco Moock
An der Syntax liegt es nicht, wenn ich da Fehler einbaue gibt es eine
klare Fehlermeldung.
Ist das ein Fehler bei mir oder im OpenSSH?

könnte auch mit den crypto policies zu tun haben die auf
neueren Fedora Versionen (SHA1 daktiviert) wohl default
sind.

https://fedoraproject.org/wiki/Changes/StrongCryptoSettings2

Post by Marco Moock
update-crypto-policies --set LEGACY

versuchen.

[Marco Moock]

Post by Michael Ablassmeier

Post by Marco Moock
An der Syntax liegt es nicht, wenn ich da Fehler einbaue gibt es
eine klare Fehlermeldung.
Ist das ein Fehler bei mir oder im OpenSSH?

könnte auch mit den crypto policies zu tun haben die auf
neueren Fedora Versionen (SHA1 daktiviert) wohl default
sind.
https://fedoraproject.org/wiki/Changes/StrongCryptoSettings2

Post by Marco Moock
update-crypto-policies --set LEGACY

versuchen.

Danke, das war genau die Ursache.
nur stelle ich mir die Frage, warum das dann nicht mit einer passenden
Fehlermeldung quittiert wird statt so zu tun, als sei die Option nicht
angegeben.

[Michael Ablassmeier]

Post by Marco Moock

Post by Michael Ablassmeier

Post by Marco Moock
update-crypto-policies --set LEGACY

versuchen.

Danke, das war genau die Ursache.
nur stelle ich mir die Frage, warum das dann nicht mit einer passenden
Fehlermeldung quittiert wird statt so zu tun, als sei die Option nicht
angegeben.

das kommt denke ich auch auf die version des clienten an ob und wie er
diese Situation abhandelt, ist etwas unschön! Mich hat das damals bei
RHEL9 erwischt.

[Ralph Aichinger]

Post by Marco Moock
Auf Debian mit OpenSSH_9.7p1/OpenSSL 3.1.5 geht es.
Auf Fedora mit OpenSSH_9.3p1/OpenSSL 3.1. nicht.

Eventuell ist es bei Fedora nicht (mehr) einkompiliert?

Was sagt

ssh -Q hostkeyalgorithms

?

/ralph -- sorry, falls ich es irgendwo überlesen habe

[Marco Moock]

Post by Ralph Aichinger

Post by Marco Moock
Auf Debian mit OpenSSH_9.7p1/OpenSSL 3.1.5 geht es.
Auf Fedora mit OpenSSH_9.3p1/OpenSSL 3.1. nicht.

Eventuell ist es bei Fedora nicht (mehr) einkompiliert?

Dann würde ich eine klare Fehlermeldung erwarten. Passiert hier aber
nicht und unten wird es auch gelistet.

Post by Ralph Aichinger
Was sagt
ssh -Q hostkeyalgorithms

[***@fedora ~]$ ssh -Q hostkeyalgorithms
ssh-ed25519
ssh-ed25519-cert-***@openssh.com
sk-ssh-***@openssh.com
sk-ssh-ed25519-cert-***@openssh.com
ecdsa-sha2-nistp256
ecdsa-sha2-nistp256-cert-***@openssh.com
ecdsa-sha2-nistp384
ecdsa-sha2-nistp384-cert-***@openssh.com
ecdsa-sha2-nistp521
ecdsa-sha2-nistp521-cert-***@openssh.com
sk-ecdsa-sha2-***@openssh.com
sk-ecdsa-sha2-nistp256-cert-***@openssh.com
webauthn-sk-ecdsa-sha2-***@openssh.com
ssh-dss
ssh-dss-cert-***@openssh.com
ssh-rsa
ssh-rsa-cert-***@openssh.com
rsa-sha2-256
rsa-sha2-256-cert-***@openssh.com
rsa-sha2-512
rsa-sha2-512-cert-***@openssh.com
[***@fedora ~]$