Вход ssh по ключу ( Linux/Unix ) / FAQ /

Госуслуги: что делать, если портал не видит сертификат

Проблема в работе с сайтом Госуслуг может быть связана с ошибками в регистрации. При работе с порталом необходимо следовать четкому алгоритму при регистрации. Правильный порядок действий выглядит следующим образом: пункт меню «Регистрация» → ввод мобильного номера и данных → заполнение анкеты.

В этом случае ошибиться сложно, поскольку система сама проверяет каждый пункт на соответствие числу цифр и букв в каждой графе. Если допущены неточности, вы не сможете продвинуться дальше. Области с ошибкой подчеркиваются красным знаком.

В законе ФЗ-63 описано, как должны действовать сертификаты в системе. Если при регистрации с ЭЦП не возникло проблем, но в дальнейшем всплывает предупреждение об ошибке, стоит обратиться в службу поддержки.

Самостоятельная работа с ошибкой:

Что еще я могу сделать со своей ca?

Многое! Теперь, когда у вас есть свой личный CA, вы можете настроить TSL сертификаты для

. Если вы хотите узнать побольше о CA, поставщиках, вариантах конфигурации и прочем, прочтите

Что рекомендует криптопро

Чтобы действовать в рамках ФЗ, рекомендовано установить плагины с официального сайта «КриптоПро». Бесперебойно Plugin взаимодействует с Google Chrome, Internet Explorer. Остальные браузеры игнорируют установку.

Введение

Кроме стандартной аутентификации по паролю (password/keyboard) в протоколе SSH существует также аутентификация по публичному ключу (RSA).

Аутентификация с помощью RSA-ключей состоит из нескольких этапов:

Почему только RSA? Почему не DSA? К сожалению, ответа на этот вопрос я не нашел (и не особо искал). Но официально на оборудовании Cisco поддерживается только RSA.

Документ Secure Shell Configuration Guide, Cisco IOS Release 15E:

Secure Shell Configuration Guide, Cisco IOS Release 15E
Restrictions for Secure Shell Version 2 Support
Rivest, Shamir, and Adleman (RSA) key generation is an SSH server-side requirement. Devices that act as SSH clients need not generate RSA keys.

Попытка ввести данные DSA-ключа:

1 — настраиваем ssh сервер

sudo nano /etc/ssh/sshd_config

Создайте учетные данные Google OAuth

В этом проекте вам потребуются

, их создание займет пару минут.

Запишите

Client IDClient Secret

, они понадобятся в следующем шаге!

Заметка: Ваш CA будет выдавать пользовательские сертификаты только тем пользователям, которые авторизованы в GSuite Organization, соответствующем вашему аккаунту Google Cloud project.

2- создаем директорию для ключей

в домашней директории пользователя создаем директорию

.ssh

Запустите ваш Certificate Authority

Мы установим

step-caUbuntu 18.04 LTS

в инстансе AWS. Нам должно хватить бесплатного уровня инстанса AWS (t2.micro/t3.micro).

https://www.youtube.com/watch?v=Sivt7R09EOs

Возьмите этот скрипт запуска CA и вставьте сверху требуемые значения:

Загрузите его в виде

3 — добавляем на целевую машину открытый ключ

В созданной директории .ssh нам необходимо создать файл с отрытым ключом

На борту нового аккаунта

Давайте настроим ваш первый пользовательский аккаунт. Запустите на вашем локальном устройстве следующее:

Cisco nexus 9.3

Вариант 1: предустанавливаем файл публичного ключа на устройство и привязываем файл публичного ключа к пользователю.

Huawei usg (6000)

Конфигурация полностью аналогична настройкам на маршрутизаторе, но имеет некоторые особенности.

По умолчанию уровень привилегий после журналирования с использованием сертификатов равен 0 и повышению не поддается. Поэтому уровень приоритета задается с помощью

Mac os x

Настройка стандартного клиента для использования публичных ключей:

Putty

В настройках SSH (Connection → SSH → Auth) в поле “Private key file for authentication” укажите файл Putty Private Key (*.ppk):

Securecrt

В окне настроек SSH есть список Authentication. В нём необходимо увеличить приоритет PublicKey до самого высокого — сделать верхним в списке.

Затем перейдите в параметры PublicKey и выберите файл приватного ключа. Самый верхний переключатель позволяет использовать глобальные настройки секретного ключа или сеансовые настройки — другой секретный ключ (ключ не по умолчанию) — только для этого подключения.

Настраиваем глобальный публичный ключ: в меню Options → Global options → Категория SSH2.

Single sign-on с openid connect и ssh сертификатами

Вместо использования файлов

authorized_keys

мы настроим SSH Certificate Authority и осуществим доступ по SSH через краткосрочные сертификаты, а для поддержки single sign-on мы добавим

. Как только у нас все получится, результат будет отменный, поэтому прошу вашего терпения, так как нам понадобится чуть больше подготовительных настроек, чем при типичной SSH-конфигурации «из коробки».

Что такое SSH сертификат? SSH сертификат — это альтернатива, которая превосходит пару открытого/секретного SSH ключей. Пользователь и хост обмениваются сертификатами в ходе SSH-соединения (handshake), своего рода урезанной версии сертификата TLX X.

Ниже можно увидеть расшифрованный SSH сертификат:

Анонимность в интернете своими руками. настройка ssh (вход по сертификату) – securityforall

login as: root
[email protected]'s password:
[[email protected]~]#

yum install epel-release -y

yum update –y

ssh-keygen -i -f /tmp/public.pub >> /root/.ssh/authorized_keys

mkdir ~/.ssh
chmod 700 ~/.ssh
touch ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys

ssh-keygen -i -f /tmp/public.pub >> /root/.ssh/authorized_keys

PasswordAuthentication yes

PasswordAuthentication no

reboot

Буду ли я отрезан от всех своих хостов при отключении моей ca?

Будете, хотя SSH и SHHD не взаимодействуют с CA напрямую. CA выдает сертификаты и поддерживает базу данных хостов. Ваши пользователи полагаются на эту базу, чтобы понять, нужно ли пробовать соединяться с хостом через аутентификацию сертификата.

Для безопасности системы не пользуйтесь SSH сертификатами для подключения напрямую к CA: это единственное место, где стоит и дальше использовать пары ключей.

Время попробовать!

Мы готовы соединиться по SSH с настроенным вами хостом. Вы можете запустить SSH командой

-v

чтобы пронаблюдать handshake. В частности, вы должны увидеть что-то такое:

Вход в интернет-банк

Генерация rsa ключей на клиенте windows

На клиентском, компьютере, с которого вы будет подключаетесь к удалённому серверу Windows с OpenSSH, вам нужно сгенерировать пару RSA-ключей (открытый и закрытый). Закрытый ключ хранится на клиенте (не отдавайте его никому!), а открытый ключ помещается на SSH сервер в файл authorized_keys. Чтобы на клиенте Windows сгенерировать RSA ключи, вы должны установить клиент OpenSSH.

В Windows 10 1809 и Windows Server 2021 клиент OpenSSH устанавливается как отдельный встроенный компонент:

Add-WindowsCapability -Online -Name OpenSSH.Client~~~~0.0.1.0

Запустите обычную (непривилегированную сессию PowerShell) и сгенерируйте пару RSA 2048 ключей с помощью команды:

ssh-keygen

Утилита попросит вас указать пароль для защиты закрытого ключа. Если вы укажете пароль, то каждый раз при использовании этого ключа для SSH авторизации, вы должны будете вводить этот пароль. Я не стал указывать пароль для ключа (не рекомендуется).

Генерирование rsa-пары в securecrt

SecureCRT → Tools → Create Public Key…:

Чуть-чуть теории → кнопка “Next >”:

Тип сертификата RSA/DSA → Выбираем RSA → кнопка “Next >”:

Генерирование публичных ключей на mac os x средствами операционной системы

Будем использовать встроенную утилиту ssh-keygen (man ssh-keygen).

Генерируем RSA-ключ с длиной 2048 бит с указанием имени ключа, путем к папке с местом хранения ключа:

Генерируем ключи ssh

для этого существует утилита ssh-keygen

Загрузите новый хост

Давайте загрузим инстанс Ubuntu, который станет нашим первым

ssh

target хостом.

Заметка: Ваш CA будет выдавать сертификаты хоста только инстансам на его аккаунте AWS.

Использование секретного ключа для подключения по ssh

Этот раздел посвящен настройке SSH-клиентов для аутентификации по RSA-ключам на сетевом оборудовании (или другом оборудовании, при условии, что оборудование и ПО поддерживает аутентификацию по публичным ключам).

Мы рассмотрим настройку использования публичного ключа в самых популярных программах: SecureCRT и PuTTY.

Как мне добавить поддержку sudo?

Воспользуйтесь agent forwarding и

Как мне зарегистрировать в ca уже существующий хост?

Для хостов Ubuntu 18.04 LTS этот процесс аналогичен загрузке нового хоста, достаточно запустить

под рутом. Для других платформ вам потребуется портировать скрипт под ваши нужды.

После того как вы запустите и настроите все ваши хосты, у вас может возникнуть желание подправить настройки instanceAge вашего поставщика AWS для CA. Эти настройки хранятся в /etc/step-ca/config/ca.json. Инстанс любого возраста может запустить сам себя по умолчанию.

Заметка: Созданный скриптом Instance Identity токен — это одноразовый токен. Вы не можете перерегистрировать хост, вы можете лишь обновить его сертификат. Почему? Потому что любой пользователь на хосте может в любой момент получить доступ к IID, и мы не хотим, чтобы пользователи могли получить сертификат хоста от CA.

Как не следует пользоваться ssh

Еще в далеком 2004 году кто-то научил меня копипастить открытый ключ в файл

authorized_keys

. С тех пор я продолжал невинно копировать один и тот же старый публичный ключ на каждый сервер, с которым мне приходилось работать, и у меня постоянно не получалось сделать это с первого раза, потому что я забывал корректно настраивать

chmod

Лишь однажды, когда в 2021 году OpenSSH объявил мой тип ключа устаревшим, я с неохотой заменил свой ключ. Теперь, за давностью лет, остается только гадать, на каких серверах мой открытый ключ все еще лежит. Может, у старых стартапов, с которыми я когда-то работал? У клиентов с фриланса? На криптоферме моей племянницы?

С организационной точки зрения файлы authorized_keys — это полный отстой. Возможно, поначалу кто-то и пишет их вручную, как я, но с ростом числа хостов и пользователей подобная задача превращается в кошмар. И однажды утром ты просыпаешься посреди затянувшего инфраструктуру болота открытых ключей.

Большинство организаций обычно создают сценарий (playbook) для автоматизации управления файлами authorized_keys, однако их сбор, выгрузка и обслуживание остаются месивом вне зависимости от продуманности исполнения.

Конвертирование rsa-ключа из формата putty private key (putty) в формат openssh (securecrt)

Чтобы использовать в SecureCRT RSA-ключи, которые сгенерированы в PuTTYgen и сохранены в формате Putty Private Key (*.ppk), экспортируем их с помощью PuTTYgen в формат OpenSSH:

1. Запускаем PuTTYgen.
2. Загружаем существующий RSA-ключ в формате Putty Private Key (*.ppk) → Кнопка “Load”.
3. Сохраняем файл публичного ключа → “Save public key”.
4. Экспортируем секретный ключ в формат OpenSSH: меню PuTTYgen → “Conversions” → “Export OpenSSH key”.
5. Используем в SecureCRT файлы в формате OpenSSH. Файл с публичным ключом имеет расширение .pub, файл с секретным ключом не имеет расширения.

Конвертирование rsa-ключа из формата vandyke private key (securecrt) в формат putty private key (putty)

Чтобы использовать в PuTTY RSA-ключи, которые сгенерированы в SecureCRT и сохранены в формате VanDyke Private Key (файл публичного ключа — *.pub, файл секретного ключа *. (без расширения)), экспортируем их с помощью SecureCRT в формат OpenSSH, а затем с помощью PuTTYgen экспортируем в формат Putty Private Key (*.ppk):

1. Запускаем SecureCRT.
2. Меню “Tools” → “Convert Private Key to OpenSSH format…”
3. Выбираем исходный файл с ключами VanDyke Private Key.
4. Сохраняем OpenSSH-ключи с новым именем.
5. Запускаем PuTTYgen.
6. Загружаем существующий RSA-ключ в формате OpenSSH (*.): PuTTYgen Menu → “Conversions” → “Import key”.
7. Сохраняем файл в формате Putty: “Save private key”.

Куда обращаться при ошибке: у вас нет действующих сертификатов

При работе с ЭЦП следует знать, что электронный сертификат или флеш-носитель не могут быть источниками ошибки. Если при работе с порталами вы видите предупреждение об отсутствии рабочего сертификата, значит, сбой выдает сайт или обслуживающий сервис.

Возможно, потребуется установка через «КриптоПро» и дальнейшая настройка в программе. Для решения задачи необходимо найти источник сбоя и воспользоваться инструкцией. Под каждый сайт или портал разработан свой алгоритм устранения ошибок.

Получить инструкции и консультацию нужно в техподдержке того удостоверяющего центра, в котором выдавался сертификат.

Могу я изменить срок действия ssh сертификата?

Да. По умолчанию они действительны 16 часов, и в файле конфигурации CA (

ca.json

) под объектом

claims

, у вашего поставщика OIDC, вы можете внести изменения в соответствующих строчках, например:

Могу я использовать хост-бастион (инсталляционный сервер)?

Можете. Сначала выдайте всем своим хостам сертификаты, а затем добавьте в

known_hosts

на вашем бастионе CA ключ хоста:

Могу я использовать хосты на нескольких aws аккаунтах?

Конечно. Для этого достаточно добавить ID аккаунта в файл конфигурации CA (

/etc/step-ca/config/ca.json

) и перезапустить сервер CA.

Могу я пользоваться gcp или azure вместо aws?

Да! У

step-ca

есть поставщики для всех трех, вам только нужно будет внести правки в конфигурацию CA и скрипт загрузки хоста. Более подробно об этом можно почитать в

step-ca

Настраиваем целевую машину

Настраиваем машину на которую будем выполнять вход по ключу, тут необходимо выполнить 3 действия:

1) Настроить SSH сервер

2) Создать директорию для ключей в домашней директории пользователя

3) Положить на машину открытый ключ

Настройка openssh в windows для авторизации по ключам

Теперь открытый ключ, который вы сгенерировали на клиенте, нужно скопировать на ваш SSH сервер (в этом примере это удаленный компьютер с Windows 10 1903 и настроенной службой OpenSSH).

Настройка и подключения putty

Теперь все что нам осталась это создать новый сеанс и настроить его подключения к SSH серверу по ключу.

Создаем новый сеанс пиши на IP Адрес к серверу.

Далее, мы выбираем меню категорию SSH и там выберем под категорию Auth

В поле Private key file for authentication загружаем наш приватный ключ.

Далее переходим обратно в раздел Session и сохраняем нашу сессию для того чтобы следующий раз не заполнять все эти поля.

Остаётся только проверить правильность аутентификации к SSH серверу по ключу. Запустите PuTTY и подключитесь к своему серверу. Если вы при создании, ключа заполнили поле Key Passphrase и Confirm Passphrase то вас запросит вести этот пароль. Если же всё настроено неправильно, то будет выдано сообщение об ошибке и предложено ввести пароль.

Не отображается сертификат, список причин и их решение #

• Проверьте на компьютере верность указания даты, часового пояса и времени.
• Убедитесь в том что сертификат был установлен в хранилище «Личные». Если потребуется установите его, используя инструкцию.
• Проверьте срок действия сертификата, убедитесь что срок действия вашей ЭП не закончился.
• Включите режим представления совместимости в Internet Explorer (Кнопка«Сервис» или значок в виде «шестеренки» / Здесь «Параметры просмотра в режиме совместимости» / добавить этот веб-сайт).
• Попробуйте в других веб-браузерах (Mozilla Firefox, Яндекс Браузер, Google Chrome, Спутник), или на другом компьютере.
• Проверьте установку дополнительных компонентов, которые требуются для работы. Например, плагин для Портала Госуслуг, КриптоПро ЭЦП Browser plug-in, Компонент Ланит для сайта Госзакупок. При необходимости обновите их. Инструкция по установке плагинов.
• Посмотрите статус блокировки всплывающих окон. Необходимо отключить блокировку всплывающих окон. В браузере IE нажимаем на клавиатуре кнопку «Alt», потом кнопку«Сервис», в разделе «Блокирование всплывающих окон» выбираем «Выключить блокирование всплывающих окон».
• Проверьте срок действия лицензии КриптоПро. Нажимаем кнопку Пуск, переходим / Все программы / КриптоПро / . Нажимаем на КриптоПро CSP в открывшейся программе на вкладке «Общие» смотрим срок действия лицензии.

Это может быть полезно:

1. Установка КриптоПро CSP
2. Проверка сертификата Электронной Подписи
3. Как подписать документ электронной подписью?

Но я не хочу пользоваться certificate authority!

Возможно, вы думаете, что это сложно и страшно. Такую репутацию Certificate Authorities заработали из-за загадочных подробностей сертификатов TLS X.509, одного только числа акронимов в мире ИОК (инфраструктуры открытых ключей, PKI), и сложности таких инструментов, как

openssl.

Кроме того, у больших CA, например Let’s Encrypt, есть огромное число ответственностей по обеспечению безопасности интернета.

Мы не будем пользоваться Let’s Encrypt.

SSH сертификаты проще, чем TLS сертификаты. SSH CA попросту позволяет нам делегировать часть ответственностей в области аутентификации и авторизации множества хостов одному централизованному сервису.

В этом проекте мы настроим CA с тремя поставщиками — тремя методами выдачи сертификатов:

Приступим?

Применение публичного ключа на оборудовании

Как на различном оборудовании привязать открытый ключ к пользователю?

Процесс привязки публичного ключа к пользователю не стандартный и меняется от оборудования к оборудованию, поэтому приведены примеры для каждого типа оборудования, которое чаще всего применяется в сети.

Пример автоматического подключения из windows через putty и puttygen

Для начала скачаем с официального сайта обе утилиты отсюда.

еперь утилитой PuTTYgen сгенерируем публичный и приватный ключ. Открываем утилиту и нажимаем Generate:

После нажатия, необходимо произвольно водить мышкой для заполнения массива случайных чисел, примерно в квадрате под полосой загрузки:

По окончании процесса генерации, утилита предоставит Вам сгенерированный приватный и публичный ключ. Публичный, который обведен красным прямоугольником, нужно занести в файл authorized_keys, который находится в папке .

ssh корне Вашего аккаунта на сервере, а приватный ключ сохраняем себе на компьютер. Для этого нажимаем на кнопку Save private key. Учтите, что приватный ключ нельзя ни показывать, ни передавать, иначе смысл безопасного подключения теряется.

Сейчас скопируем публичный ключ в файл .ssh/authorized_keys находящийся на Вашем аккаунте. Для этого открываем утилиту Putty:

Проблема 2. при нажатии на кнопку «запросить сертификат» возникают ошибки или не открывается программа криптопро.

Решение:

Если у Вас установлена антивирусная программа «Avast» или «Антивирус Касперского», то данные программы достаточно временно отключить.

Проблема 3. не удается выполнить запрос на сертификат.

Решение: проверьте версию операционной системы (ОС).

Например, в программе «Подпись Про» нажмите кнопку О Программе» нажмите кнопку «О системе…»:

Проверьте версию операционной системы:

К сожалению на версии операционной системы отличной от Windows 10 невозможно выполнить запрос на сертификат из программы.

Для продолжения операции выпуска сертификата обратитесь в отдел технической поддержки по номеру 8 (800) 100-58-90.

Также Вы можете обновить свою операционную систему до Windows 10 или воспользоваться другим компьютером с уже установленной версией ОС.

Проблема 4. при создании запроса на сертификат в криптопро csp отсутствует биологический датчик случайных чисел и не удается сформировать контейнер закрытого ключа. вместо окна биологического датчика случайных чисел открылось окно:

Решение: добавить биологический датчик случайных чисел.

Для добавления биологического датчика ДСЧ запустите программу КриптоПро CSP от имени администратора. Перейдите на вкладку «Оборудование» и нажмите кнопку «Настроить ДСЧ»:

• Если в открывшемся окне отсутствует «Биологический ДСЧ», нажмите «Добавить»:

В открывшемся окне нажмите «Далее». В окне «Выбор ДСЧ» выберите «Биологический ДСЧ» и нажмите кнопку «Далее»:

Задайте имя добавляемого ДСЧ или оставьте по умолчанию, нажмите «Далее» и «Готово».

В окне «Управление датчиками случайных чисел» появится «Биологический ДСЧ».

• Если биологический датчик есть в списке, но находится не напервом месте, поднимите его с помощью стрелки вверх.

Проблема 6. если вы выпускали электронную подпись до 01.07.2021 и не удается войти в личный кабинет на сайте удостоверяющего центра ооо «программный центр». например, возникает следующая ошибка:

Решение:

• Используйте браузер Internet Explorer версии 11. При работе в других версиях браузера могут возникать затруднения.

• Добавьте сайт УЦ в надежные сайты. 

Проверяем работу

На рабочей машине, если мы работаем под именем

Решение проблемы tls internet explorer

Сбербанк-аст – электронная торговая площадка [#f5]

Создание ssh-ключей

По умолчанию в корневой директории пользователя находится директория .ssh, если по какой то причине её нет, то создаём её командой:

1) Cоздаем открытый и закрытый ключ нашей локальной системы:

$ ssh-keygen -t rsa -q -N '' -f ~/.ssh/id_rsa

Подробнее о ключах можете посмотреть с помощью команды:

2) Если в системе есть программа ssh-copy-id, то настраиваем удаленную систему на то, чтобы она авторизовывала SSH по открытому ключу:

переходим к шагу 4

3) Если ssh-copy-id нет, то можно сделать это вручную.

Вот последовательность действий:

3.1) копируем открытый ключ на удаленную систему:

3.2) Авторизуемся на удаленном сервере:

3.3) Заносим открытый ключ нашей локальный системы в авторизованные ключи удаленной системы, устанавливаем правильные права и “убираем за собой мусор”:

remote$ [ -d ~/.ssh ] || (mkdir ~/.ssh; chmod 711 ~/.ssh) # создаем директорию и даём права
remote$ cat ~/id_rsa.pub >> ~/.ssh/authorized_keys        # добавляем открытый ключ
remote$ chmod 600 ~/.ssh/authorized_keys                  # делаем правильные права
remote$ rm ~/id_rsa.pub                                   # удаляем не нужное

4) Проверяем, что все работает, запускаем на локальном компьютере:

Создание публичного rsa-ключа

Пару RSA-ключей можно создать с помощью различных утилит: SecureCRT, PuTTYgen или любым другим ПО. При создании ключа можно задать Passphrase (защита ключа с помощью пароля).

Список источников:

1. Википедия RSA
2. Conversion from Putty to SecureCRT with auth. keys, SecureCRT Forum
3. Secure Shell Configuration Guide, Cisco IOS Release 15E
4. Скачивание PuTTYgen
5. Huawei, официальная документация — описание различных форматов ключей для импортирования на маршрутизатор Huawei
6. Huawei USG 6000, настройка аутентификации по публичным ключам (CLI: Example for Logging In to the CLI Using STelnet (RSA Authentication))
7. Nexus 9000 Configuration guide SSH public key
8. man ssh-keygen — всё про генерацию ключей на mac os x.
9. SSH config file на MAC OS X
10. Как указывать другой публичный ключ в параметрах SSH
11. Как указывать сторонний публичный ключ в параметрах SSH config
12. Как преобразовать openssh public key в формат RFC4716

Установка публичного ключа на сервере

Далее необходимо скопировать наш публичный ключ на сервер. Мы воспользуемся для передачи на сервер ключа утилитой PSFTP, но вам ничего не мешает его передать через любой FTP клиент.

# Подключаемся к нашему серверу
open 185.65.247.114
# Далее стандартная процедура авторизации 
# После успешной авторизации пиши:
put public_key.pub /tmp/public_key.pub

Подведение итогов

С нашим базовым сетапом любой пользователь вашей Google-организации сможет получить сертификат. Также он получит доступ только к тем хостам, на которых у него есть аккаунты.

Заключение

RSA-ключи могут использоваться для замены аутентификации по паролю, но не во всех случаях:

Незащищенные паролем публичные ключи удобно применять в стендовом оборудовании. Недостаток: приходится рассылать коллегам и партнерам связку приватных и публичных ключей.

На некотором оборудовании одному пользователю может соответствовать несколько пар публичных ключей, на другом оборудовании одному пользователю соответствует только один публичный ключ.

Также разнятся форматы, в которых хранится пара из публичного и секретного ключа. Но это руководство поможет вам экспортировать ключи в разные форматы.

Сегодня оптимально использовать ключи длиной 2048 бит, но для некоторого оборудования это максимально возможная длина ключа (быть может, в новых прошивках это исправят). Например:

[R1]rsa peer-public-key test-key2 encoding-type pem
Enter "RSA public key" view, return system view with "peer-public-key end".
NOTE: The number of the bits of public key must be between 769 and 2048.
[R1-rsa-public-key]

Рекомендуется использовать публичные ключи для замены паролей, если пароли вводятся с помощью скриптов (пример: autologon в SecureCRT).

Рекомендуется использовать публичные ключи для защиты от передачи пароля по сети.

Некоторое ПО по умолчанию использует публичные ключи для аутентификации по SSH вместо пароля (пример: Ansible).