github - 如何验证SSH指纹？

Question

我怎么知道GitHub服务器rsa2 key 指纹ssh-rsa 2048 16:27:ac:a5:76:28:2d:36:63:1b:56:4d:eb:df:a6:48匹配他们显示在他们的 website 上的指纹如 SHA256:nThbg6kXUpJWGl7E1IGOCspRomTxdCARLviKw6E5SY8 (RSA)因为它们看起来不一样？
我正在设置我的 GitHub 帐户以使用 SSH 提交代码。在第一次访问尝试和腻子想要缓存 key 时出现问题。从网络上足够多的来源中，我发现足以确信它实际上是 GitHub，但我如何亲自验证它？意识到欺骗风险等，但这不是问题。
我收到了 ssh-rsa 2048尝试后油灰的指纹git clone [repository ssh url]首次。

Answer 1

您看到这种情况的原因是您使用的是旧的、过时的 SSH 客户端。
key 的指纹仅仅是 key 主体的散列值。旧版本的 OpenSSH 为此使用 MD5，您使用冒号的形式是 MD5 格式。然而，MD5 非常容易发生碰撞，以至于 CMU 表示它“不适合进一步使用”。责任方已经完全放弃了它，因为自 2004 年以来它就被认为是不安全的。即使不知道 SSH 使用它的目的是不安全的，也不再有任何充分的理由将 MD5 用于任何目的。
OpenSSH 前段时间为此切换到 SHA-256，同时，他们切换到 Base64 中的哈希编码。同时，他们在名称前面加上了哈希算法，因此它是明确的。 SHA-256 被广泛认为是安全的，GitHub 不再显示 MD5 指纹，因为大多数客户端处理 SHA-256。
不幸的是，Putty 回到了 2000 年代初，并没有远离 MD5。 GitHub 仍然在 https://api.github.com/meta 上发布其 key 的 MD5 哈希值。所以你可以看到它，但大多数人不再发布MD5指纹了。
如果您使用的是 Windows，则可以使用 Git for Windows 附带的 OpenSSH 版本；否则，OpenSSH 应该已经在大多数 Unix 系统上可用。一个足够新的版本会像往常一样向您显示 SHA-256 指纹。