PuTTYgen

PuTTYgen — это утилита для генерации пар ключей (открытого и закрытого) в рамках пакета программ PuTTY, предназначенного для работы по протоколам SSH, Telnet и Rlogin. PuTTYgen позволяет создавать, просматривать, редактировать, экспортировать и импортировать ключи асимметричного шифрования, используемые для аутентификации на удалённых серверах и для подписи данных. Утилита распространяется бесплатно с открытым исходным кодом и является стандартным инструментом для администраторов систем и разработчиков, работающих с SSH-соединениями.

История

PuTTYgen была разработана Саймоном Тэтхемом (Simon Tatham) как часть пакета PuTTY, первая версия которого вышла в 1998 году. Изначально PuTTY представлял собой простой SSH-клиент для Windows. С расширением функциональности возникла необходимость в управлении ключами, что привело к созданию PuTTYgen. Первые версии утилиты поддерживали только алгоритм RSA. Позднее были добавлены поддержка DSA (2001), ECDSA (2013) и Ed25519 (2017). PuTTYgen остаётся одним из наиболее распространённых инструментов для генерации SSH-ключей на платформе Windows, несмотря на наличие встроенных средств в современных версиях Windows 10 и 11 (OpenSSH-клиент).

Функциональные возможности

PuTTYgen выполняет несколько ключевых задач, связанных с управлением ключами SSH.

Генерация ключей

Утилита позволяет создавать новые пары ключей с заданными параметрами. Пользователь может выбрать алгоритм (RSA, DSA, ECDSA, Ed25519) и, для некоторых алгоритмов, длину ключа (например, 2048 или 4096 бит для RSA). В процессе генерации программа использует случайное движение мыши или нажатия клавиш для создания энтропии, необходимой для криптостойкости ключа.

Редактирование и просмотр ключей

PuTTYgen может загружать существующий закрытый ключ в собственном формате (.ppk) и отображать его параметры: алгоритм, длину, отпечаток (fingerprint) и комментарий. Пользователь может изменить комментарий, установить или снять парольную фразу (passphrase) для защиты закрытого ключа.

Экспорт и импорт

Утилита поддерживает экспорт открытого ключа в формате, совместимом с OpenSSH (стандартный формат для Linux-серверов). Закрытый ключ может быть экспортирован в форматы OpenSSH, SSH.com и в стандартный формат PKCS#8 (для использования в других криптографических приложениях). Также возможен импорт закрытых ключей из форматов OpenSSH и SSH.com с последующим сохранением в формате .ppk.

Генерация отпечатка ключа

PuTTYgen вычисляет и отображает отпечаток (fingerprint) открытого ключа в формате MD5 или SHA-256. Отпечаток используется для верификации ключа при первом подключении к серверу, что позволяет защититься от атак типа «человек посередине».

Алгоритмы шифрования

PuTTYgen поддерживает четыре основных алгоритма асимметричного шифрования:

• RSA — наиболее распространённый алгоритм. Рекомендуемая длина ключа — не менее 2048 бит. Ключи длиной 4096 бит обеспечивают более высокую стойкость, но требуют больше времени на генерацию и аутентификацию.
• DSA (Digital Signature Algorithm) — алгоритм, основанный на дискретном логарифмировании. Длина ключа фиксирована и составляет 1024 бита, что считается недостаточным для современных стандартов безопасности. В настоящее время использование DSA не рекомендуется.
• ECDSA (Elliptic Curve Digital Signature Algorithm) — алгоритм на основе эллиптических кривых. PuTTYgen поддерживает кривые P-256, P-384 и P-521. Ключи ECDSA короче, чем RSA, при сопоставимом уровне безопасности.
• Ed25519 — современный алгоритм на основе эллиптической кривой Curve25519. Отличается высокой скоростью работы и компактностью ключей (фиксированная длина 256 бит). Ed25519 считается одним из наиболее безопасных и эффективных алгоритмов для SSH.

Формат файла .ppk

Закрытые ключи, созданные PuTTYgen, по умолчанию сохраняются в собственном формате PuTTY Private Key (.ppk). Этот формат является текстовым и включает в себя:

• заголовок с указанием версии формата (например, PuTTY-User-Key-File-2);
• алгоритм и длину ключа;
• открытый ключ в кодировке Base64;
• зашифрованный закрытый ключ (при установке парольной фразы);
• комментарий;
• MAC-код (Message Authentication Code) для проверки целостности.

Формат .ppk несовместим с OpenSSH напрямую, однако PuTTYgen позволяет экспортировать ключи в форматы, используемые OpenSSH и другими SSH-клиентами.

Использование

PuTTYgen применяется в следующих сценариях:

Настройка аутентификации по ключу для SSH

Пользователь генерирует пару ключей с помощью PuTTYgen, затем открытый ключ (в формате OpenSSH) копируется на сервер в файл ~/.ssh/authorized_keys. Закрытый ключ (в формате .ppk) загружается в PuTTY или другой SSH-клиент (например, WinSCP) для подключения без пароля.

Генерация ключей для Git и других сервисов

PuTTYgen может использоваться для создания ключей, применяемых при работе с Git-репозиториями по протоколу SSH (например, GitHub, GitLab, Bitbucket). Открытый ключ добавляется в настройки учётной записи, а закрытый — в Pageant (агент аутентификации PuTTY) или другой SSH-агент.

Преобразование ключей между форматами

С помощью PuTTYgen можно конвертировать ключи из формата OpenSSH в .ppk и обратно, что полезно при переходе между различными SSH-клиентами.

Агент аутентификации Pageant

PuTTYgen тесно связан с программой Pageant (PuTTY Authentication Agent), которая входит в тот же пакет. Pageant хранит в памяти расшифрованные закрытые ключи и автоматически предоставляет их PuTTY и другим программам при установке SSH-соединений. Ключи загружаются в Pageant через PuTTYgen или непосредственно через интерфейс агента.

Альтернативы

Существуют аналогичные утилиты для генерации SSH-ключей:

• ssh-keygen — встроенная утилита OpenSSH, доступная в Linux, macOS и Windows (начиная с Windows 10);
• openssl — может использоваться для генерации ключей RSA, DSA, ECDSA;
• gpg — для создания ключей в формате OpenPGP, которые также могут применяться для SSH-аутентификации.

PuTTYgen остаётся популярным выбором для пользователей Windows благодаря графическому интерфейсу и интеграции с экосистемой PuTTY.

Безопасность

При использовании PuTTYgen следует учитывать несколько аспектов безопасности:

• Защита закрытого ключа — рекомендуется устанавливать надёжную парольную фразу (passphrase) для шифрования закрытого ключа на диске.
• Хранение ключей — закрытые ключи должны храниться в защищённом месте, недоступном для посторонних. Потеря или компрометация закрытого ключа может привести к несанкционированному доступу к серверам.
• Длина ключа — для алгоритма RSA рекомендуется использовать ключи длиной не менее 2048 бит. Ключи длиной 1024 бит и менее считаются уязвимыми.
• Устаревшие алгоритмы — алгоритм DSA (1024 бит) не рекомендуется к использованию из-за недостаточной криптостойкости. Предпочтительными являются Ed25519 и RSA с длиной ключа 4096 бит.

Интересные факты

• PuTTYgen, как и весь пакет PuTTY, написан на языке C и C++.
• Исходный код PuTTYgen доступен под лицензией MIT, что позволяет свободно использовать, изменять и распространять программу.
• Утилита может работать в пакетном (batch) режиме с помощью командной строки, что позволяет автоматизировать генерацию ключей в скриптах.
• PuTTYgen поддерживает создание ключей с использованием аппаратных токенов (например, YubiKey) через интерфейс PKCS#11, хотя эта функция менее распространена.

Источники

• Официальная документация PuTTY (README, руководство пользователя).
• Исходный код PuTTYgen (репозиторий проекта на git.tartarus.org).
• Стандарты SSH (RFC 4251–4254, RFC 5656, RFC 8709).
• Книга «SSH Mastery» Майкла Лукаса (Michael W. Lucas).