signing failed with agent forwarding

[stefan-kos]

Hello Roman, wir haben einen issue entdeckt, ist nachvollziehbar mit Roumens sshd und OpenSSH. Mit Petrovs Version 9.2 klapts noch, mit 12.4.x nicht mehr.

Die Situation ist folgende: Es gibt z.B. Devices wie Switches und Storage etc. die ein OpenSSH Server drauf haben. Bei denen kann man den pub key vom Zert ins authorized_keys tun. Login klappt wenn man direkt drauf geht mit PuTTY via Pageant. Im pageant haben wir cert:// und x509://

Logged man sich nun auf ein Petrov sshd 12.4.x ein (Jump server), und von da auf einen OpenSSH Server mit dem authorized_keys file (vom cert), gehts nicht mehr. Mit Petrov sshd 9.2 gehts, 12.4 nicht mehr.

Es hat sich viel geändert im OpenSSH Code was das agent forwarding betrifft. Leider klapts mit Reflection SSH. Da fällt mir auf, bei x509 ist dort jetzt x509v3-ssh-rsa. Hab versucht rauszufinden was ich hier machen müsste.

Der Fehler passiert bei ssh client: debug3: sign_and_send_pubkey: signing failed for ssh-rsa "cert://..." from agent: agent refused operation

Irgendwas im OpenSSH code authfd.c Funktion Xssh_agent_sign gibt eine falsche Antwort zurück, SSH_ERR_AGENT_FAILURE

Hab nicht rausgefunden warum. OpenSSH debuggen ist so ne Sache da.

Wenn Du lust und Zeit hast, ev. habt ihr eine Idee.

Gruess, Stefan