Java使用Maverick SSH连接新服务器时传输HMAC组件协商失败如何解决

看报错里的算法协商日志就能直接定位问题：

• 当前你的Java代码引用的Maverick SSH库，在传输层仅能提供两类HMAC算法：hmac-sha1,hmac-md5
• 目标新服务器仅开放四类HMAC算法：hmac-sha2-512-etm@openssh.com,hmac-sha2-256-etm@openssh.com,hmac-sha2-512,hmac-sha2-256

两边的可协商算法集合没有任何交集，连接在SSH握手的算法协商阶段就直接中断，这个故障和密钥格式、公钥认证逻辑完全无关。你现有的公钥认证代码能正常连接旧服务器，本身就说明密钥解析、校验的逻辑是没问题的——现在的连接流程根本走不到公钥校验那一步。
Putty、WinSCP能正常连通，是因为这类桌面工具默认内置了完整的现代SHA2系列HMAC、*ETM（Encrypt-then-MAC，先加密后校验）*扩展算法，不存在算法兼容缺口。

优先方案：升级Maverick SSH库版本 #

你当前使用的应该是Maverick 2.x系列的非常老旧的版本，这类版本原生仅内置了sha1、md5这类已被逐步淘汰的弱HMAC算法，没有集成SHA2系列算法实现，更不支持OpenSSH的ETM扩展。
操作要点：

• 将Maverick库升级到3.1.4以上的稳定兼容版本，新版本会自动将所有支持的现代HMAC算法加入协商列表，和服务端的算法要求形成匹配，不需要改动你现有的公钥认证业务代码
• 升级后如果未自动识别到ETM系列算法，需要在SSH连接全局初始化阶段，手动注册对应算法组件，参考代码：

// 手动注册服务端要求的HMAC算法，保留旧算法支持以兼容存量服务器
SshConfig.addComponent("hmac-sha2-256", HmacSha256.class);
SshConfig.addComponent("hmac-sha2-512", HmacSha512.class);
SshConfig.addComponent("hmac-sha2-256-etm@openssh.com", HmacSha256ETM.class);
SshConfig.addComponent("hmac-sha2-512-etm@openssh.com", HmacSha512ETM.class);

• 注册时不要移除旧的sha1、md5算法支持，避免影响你连接存量旧服务器的业务兼容性。

关于密钥格式转换的误区 #

这个场景下完全不需要折腾密钥格式转换：

• 如果是密钥格式不兼容，报错会提示私钥解析失败、公钥签名校验不通过，而不是传输层组件协商失败
• 现有的私钥解析、认证代码是跨场景通用的，不管对接新老服务器，只要密钥是OpenSSH/PuTTY格式都能正常解析，不需要为新服务器单独转密钥格式

• 不要为了快速连通，去找服务器管理员把服务端的HMAC算法回退到sha1、md5这类弱算法，这类算法存在可被利用的安全漏洞，新服务器默认禁用这类算法本身就是安全合规要求，调整服务端配置的合规风险远高于升级客户端组件的成本
• 库升级完成后记得做全量回归测试，覆盖所有存量的SFTP连接场景，确保没有引入兼容问题

内容的提问来源于stack exchange，提问作者fatherazrael