Parar o cliente ssh de oferecer todas as chaves públicas que encontrar?

Como a maioria dos administradores de sistemas, eu uso o openssh o tempo todo. Eu tenho cerca de uma dúzia de chaves ssh, gosto de ter uma chave ssh diferente para cada host. No entanto, isso causa um problema quando estou me conectando a um host pela primeira vez, e tudo o que tenho é uma senha. Eu quero apenas conectar ao host usando uma senha, sem chave ssh neste caso. No entanto, o cliente ssh oferecerá todas as chaves públicas no meu ~/.ssh/(eu sei disso olhando a saída de ssh -v). Como tenho tantas, ficarei desconectado por muitas falhas de autenticação.

Existe alguma maneira de dizer ao meu cliente ssh para não oferecer todas as chaves ssh?

Esse é o comportamento esperado de acordo com a página do manual ssh_config:

 IdentityFile
         Specifies a file from which the user's DSA, ECDSA or DSA authentica‐
         tion identity is read.  The default is ~/.ssh/identity for protocol
         version 1, and ~/.ssh/id_dsa, ~/.ssh/id_ecdsa and ~/.ssh/id_rsa for
         protocol version 2.  Additionally, any identities represented by the
         authentication agent will be used for authentication.  

         [...]

         It is possible to have multiple identity files specified in configu‐
         ration files; all these identities will be tried in sequence.  Mul‐
         tiple IdentityFile directives will add to the list of identities
         tried (this behaviour differs from that of other configuration
         directives).

Basicamente, especificar IdentityFiles apenas adiciona chaves a uma lista atual que o agente SSH já apresentou ao cliente.

Tente substituir esse comportamento por este na parte inferior do seu .ssh/configarquivo:

Host *
  IdentitiesOnly yes

Você também pode substituir essa configuração no nível do host, por exemplo:

Host foo
  User bar
  IdentityFile /path/to/key
  IdentitiesOnly yes

Embora outros tenham sugerido isso com soluções baseadas em configuração, provavelmente vale a pena ressaltar que você pode fazer isso facilmente apenas uma vez na linha de comando com:

ssh -o 'PubkeyAuthentication no' myhostname.mydomain

Seguindo a solução de James Sneeringer, você pode querer definir um ssh_config ao longo das linhas de:

Host *.mycompany.com
  IdentityFile .ssh/id_dsa_mycompany_main

Host *.mycustomer.com
  IdentityFile .ssh/id_dsa_mycustomer

Host *
  RSAAuthentication no #this should be up top, avoid ssh1 at all costs
  PubkeyAuthentication no

Se você se conectar com uma chave específica a muitas máquinas que não estão em um domínio comum, considere fornecer a elas todos os CNAMEs em seu próprio DNS. Eu faço isso com todos os sistemas do cliente.

Semelhante à solução do user23413, você pode desativar completamente a autenticação de chave pública para um host específico (ou padrão curinga):

Host *.example.org
RSAAuthentication no        # SSHv1
PubkeyAuthentication no     # SSHv2

Se você apontar para um arquivo de chave específico com ssh -i / path / to / key, ele somente o usará, mesmo que outros estejam carregados no agente, e a senha não será solicitada. Você também pode editar seu ~ / .ssh / config e adicionar algo assim ...

Host foo.example.com
IdentityFile .ssh / id_rsa_foo.example.com

você também pode fazer ...

Host * .example.org
IdentityFile .ssh / id_rsa_example.org