# 生成 RSA 主机密钥
sudo dropbearkey -t rsa -f /etc/dropbear/dropbear_rsa_host_key

# 生成 Ed25519 主机密钥（推荐）
sudo dropbearkey -t ed25519 -f /etc/dropbear/dropbear_ed25519_host_key

# 生成 ECDSA 主机密钥
sudo dropbearkey -t ecdsa -f /etc/dropbear/dropbear_ecdsa_host_key

# 生成 DSS/DSA 主机密钥（不推荐，已过时）
sudo dropbearkey -t dss -f /etc/dropbear/dropbear_dss_host_key

# 查看公钥指纹
sudo dropbearkey -y -f /etc/dropbear/dropbear_ed25519_host_key
# 输出示例：
# Public key portion is:
# ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIGrS... user@host
# Fingerprint: SHA256:xR3bP7kF9v2mL5nQ4wJ8hT6yU1iO3pA5sD7fG9hJ

# 仅显示指纹
sudo dropbearkey -y -f /etc/dropbear/dropbear_ed25519_host_key | grep Fingerprint

# 查看 RSA 密钥信息
sudo dropbearkey -y -f /etc/dropbear/dropbear_rsa_host_key
# 输出示例：
# Public key portion is:
# ssh-rsa AAAAB3NzaC1yc2EA... user@host
# Fingerprint: SHA256:aB3cD4eF5gH6iJ7kL8mN9oP0qR1sT2uV3wX4yZ

# 设置正确的文件权限
sudo chmod 600 /etc/dropbear/dropbear_*_host_key
sudo chown root:root /etc/dropbear/dropbear_*_host_key

# 验证权限
ls -la /etc/dropbear/
# -rw------- 1 root root  805 ... dropbear_ed25519_host_key
# -rw------- 1 root root 2590 ... dropbear_rsa_host_key

#!/bin/bash
# rotate_host_keys.sh - 主机密钥轮换脚本

KEY_DIR="/etc/dropbear"
BACKUP_DIR="/etc/dropbear/old_keys/$(date +%Y%m%d)"
TIMESTAMP=$(date +%Y%m%d)

mkdir -p "$BACKUP_DIR"

# 备份现有密钥
for keyfile in "$KEY_DIR"/dropbear_*_host_key; do
    [ -f "$keyfile" ] && cp "$keyfile" "$BACKUP_DIR/"
done

echo "旧密钥已备份到 $BACKUP_DIR"

# 生成新密钥
for keytype in rsa ed25519; do
    keyfile="$KEY_DIR/dropbear_${keytype}_host_key"
    if [ -f "$keyfile" ]; then
        rm -f "$keyfile"
        dropbearkey -t "$keytype" -f "$keyfile"
        echo "已重新生成 ${keytype} 主机密钥"
    fi
done

# 重启 Dropbear
if systemctl is-active dropbear >/dev/null 2>&1; then
    systemctl restart dropbear
    echo "Dropbear 已重启"
else
    echo "请手动重启 Dropbear"
fi

# 显示新指纹
echo ""
echo "=== 新主机密钥指纹 ==="
for keyfile in "$KEY_DIR"/dropbear_*_host_key; do
    echo "$(basename $keyfile):"
    dropbearkey -y -f "$keyfile" | grep Fingerprint
done

echo ""
echo "⚠️  重要: 请通知所有用户更新 known_hosts 中的主机指纹"
echo "   旧密钥备份: $BACKUP_DIR"

# 生成 Ed25519 用户密钥
dropbearkey -t ed25519 -f ~/.ssh/id_dropbear_ed25519

# 生成 RSA 用户密钥（指定位数）
dropbearkey -t rsa -s 4096 -f ~/.ssh/id_dropbear_rsa

# 生成 ECDSA 用户密钥
dropbearkey -t ecdsa -s 256 -f ~/.ssh/id_dropbear_ecdsa

# 添加注释
dropbearkey -t ed25519 -f ~/.ssh/id_dropbear_ed25519 -C "admin@myhost"

# 使用 ssh-keygen 生成（推荐，兼容性更好）
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -C "admin@myhost"
ssh-keygen -t ecdsa -b 256 -f ~/.ssh/id_ecdsa -C "admin@myhost"
ssh-keygen -t rsa -b 4096 -f ~/.ssh/id_rsa -C "admin@myhost"

# 查看公钥
cat ~/.ssh/id_ed25519.pub

# 文件位置
~/.ssh/authorized_keys

# 必须的权限
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys
chown $(whoami):$(whoami) ~/.ssh ~/.ssh/authorized_keys

# 方法一：直接追加
cat ~/.ssh/id_ed25519.pub >> ~/.ssh/authorized_keys

# 方法二：使用 ssh-copy-id（需要 OpenSSH 客户端）
ssh-copy-id -i ~/.ssh/id_ed25519.pub user@remote

# 方法三：手动编辑
vi ~/.ssh/authorized_keys
# 粘贴公钥内容（一行一个密钥）

# 只允许执行备份脚本，禁止其他操作
command="/usr/local/bin/backup.sh",no-port-forwarding,no-X11-forwarding,no-pty ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... backup@server

# 只允许端口转发，禁止 shell
command="/bin/false",no-pty ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... tunnel@client

# 只允许通过特定隧道访问内网
permitopen="192.168.1.100:80",permitopen="192.168.1.100:443",no-port-forwarding ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... webadmin@client

#!/bin/bash
# manage_authkeys.sh - 批量管理 authorized_keys

AUTH_KEYS="/home/deploy/.ssh/authorized_keys"
KEYS_DIR="/etc/deploy/authorized_keys.d"

# 将所有用户公钥文件合并到 authorized_keys
# 这种方式便于按用户管理密钥

mkdir -p "$KEYS_DIR"

# 添加新用户公钥
add_key() {
    local username="$1"
    local keyfile="$2"
    cp "$keyfile" "$KEYS_DIR/${username}.pub"
    echo "已添加 $username 的公钥"
}

# 删除用户公钥
remove_key() {
    local username="$1"
    rm -f "$KEYS_DIR/${username}.pub"
    echo "已删除 $username 的公钥"
}

# 重建 authorized_keys
rebuild_keys() {
    cat "$KEYS_DIR"/*.pub > "$AUTH_KEYS.tmp"
    mv "$AUTH_KEYS.tmp" "$AUTH_KEYS"
    chmod 600 "$AUTH_KEYS"
    echo "已重建 authorized_keys ($(wc -l < "$AUTH_KEYS") 个密钥)"
}

case "$1" in
    add)    add_key "$2" "$3"; rebuild_keys ;;
    remove) remove_key "$2"; rebuild_keys ;;
    rebuild) rebuild_keys ;;
    *)      echo "用法: $0 {add|remove|rebuild} [username] [keyfile]" ;;
esac

# Dropbear 私钥格式（RSA）
# 头部: ---- BEGIN DROPBEAR RSA KEY ----
# Base64 编码的密钥数据
# 尾部: ---- END DROPBEAR RSA KEY ----

# 查看 Dropbear 私钥
head -1 ~/.ssh/id_dropbear_rsa
# ---- BEGIN DROPBEAR RSA KEY ----

# OpenSSH 私钥格式（Ed25519）
# 头部: -----BEGIN OPENSSH PRIVATE KEY-----
# Base64 编码的密钥数据（包含 bcrypt 加密）

# OpenSSH 公钥格式
# ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... comment

# 首次连接时的指纹确认
$ dbclient user@192.168.1.100
The authenticity of host '192.168.1.100' can't be established.
Ed25519 key fingerprint is SHA256:xR3bP7kF9v2mL5nQ4wJ8hT6yU1iO3pA5sD7fG9hJ.
Are you sure you want to continue connecting (yes/no)?

# 在服务器上获取指纹
dropbearkey -y -f /etc/dropbear/dropbear_ed25519_host_key 2>&1 | grep Fingerprint

# 输出：
# Fingerprint: SHA256:xR3bP7kF9v2mL5nQ4wJ8hT6yU1iO3pA5sD7fG9hJ

# 方法一：使用 known_hosts 文件
# 在客户端预设服务器的主机密钥
echo "192.168.1.100 ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA..." >> ~/.ssh/known_hosts

# 方法二：使用 SSHFP DNS 记录（Dropbear 不支持验证，但可以记录）
# ssh-ed25519 256 2 1 xR3bP7kF9v2mL5nQ4wJ8hT6yU1iO3pA5sD7fG9hJ

#!/bin/bash
# collect_fingerprints.sh - 批量收集设备指纹

DEVICES="192.168.1.{1..50}"
OUTPUT_FILE="device_fingerprints.csv"

echo "IP,Type,Fingerprint" > "$OUTPUT_FILE"

for ip in $(echo $DEVICES); do
    fp=$(dropbearkey -y -f /etc/dropbear/dropbear_ed25519_host_key 2>&1 | \
         grep Fingerprint | awk '{print $NF}')
    echo "$ip,ed25519,$fp" >> "$OUTPUT_FILE"
done

echo "指纹已收集到 $OUTPUT_FILE"