git 访问服务器报Permission denied (publickey)

起因

近期git 更新了最新的2.33.1版本，好多小伙伴突然发现无法访问服务器。

git pull的时候命令行会提示

git@git.xxxxx.com: Permission denied (publickey).
fatal: Could not read from remote repository.

Please make sure you have the correct access rights
and the repository exists.

• 1
• 2
• 3
• 4
• 5

莫名的提示，我还以为git版本有问题

原因

GIT 2.33.1版本集成了最新的OpenSSH v8.8p1版本，此版本放弃了历史相当悠久的rsa-sha1的支持。
当我们习惯于用命令行

ssh-keygen -t rsa -C "your_email@example.com"

 
 

 
 
1

来创建密钥的时候，要小心了，以后不再支持。

SHA-1 哈希算法，此前被发现构造前缀碰撞攻击成本已降至低于 5 万美元（实际为 4.5 万美元），因此OpenSSH开发团队决定从8.2版本禁用 ssh-rsa 公钥签名算法。有一些更好的算法可以替代，包括 RFC8332 RSA SHA-2 签名算法 rsa-sha2-256/512、ssh-ed25519 签名算法与 RFC5656 ECDSA 算法。目前这些算法在 OpenSSH 中都已经支持。

值得注意的是，一般情况下，如果服务器OpenSSH版本大于等于7.2，那么已经支持ssh-rsa2-256/512，用户无需做额外的处理。但是如果服务器版本仍然比较低，就需要更换密钥。

解决方法

方法1

如果你急需访问仓库，而暂时不想修改密钥，可以在密钥所在的.ssh目录下的config文件（没有的话自行创建）添加如下配置即可访问。

Host git.xxxxxx.com
HostkeyAlgorithms +ssh-rsa 
PubkeyAcceptedAlgorithms +ssh-rsa

 
 

 
 
1
2
3

方法2

重新生成更安全的密钥。
在生成之前，要确定服务器是否支持相应的密钥加密算法。
使用 ECDSA 或者 ED25519 算法替代RSA以一个不错的选择

ssh-keygen -t ed25519 -C "your@example.email"

 
 

 
 
1

参考文章
https://confluence.atlassian.com/bitbucketserverkb/ssh-rsa-key-rejected-with-message-no-mutual-signature-algorithm-1026057701.html
https://git-scm.com/docs/gitfaq#_credentials

方法3

回滚git到2.32版本

方法4

windows版本的git 2.33.1 安装的时候，可以选择“use external OpenSSH”。这样可以不使用内置的OpenSSH。你可以指定一个可用的OpenSSH安装路径。