Политика и съвместимост
Ed25519 е подходящ, ако сървърът и политиката го позволяват. Използвайте RSA 3072 или 4096 при изискване за съвместимост или правила. RSA ключът не е старият SHA-1 подпис ssh-rsa: съвременният RSA поддържа SHA-2. Не активирайте глобално стари подписи.
Постквантов хибрид: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 съчетава постквантовия подпис ML-DSA-44 с Ed25519: за подправено влизане би било необходимо да се разбият и двата алгоритъма. CH-J Key Generator в Beta 0.1.2 създава този тип ключ, а CH-J Tools го добавя към сървър само ако на сървъра работи OpenSSH 10.6 или по-нова версия. По-старите версии го отхвърлят; някои от тях, например 10.2p1 в Ubuntu 26.04, разпознават само експериментален вариант …@openssh.com, който CH-J Tools не използва. Запазете ключ Ed25519 или RSA като резервен вариант за сървъри и клиенти без поддръжка. Наръчникът в посочената по-долу връзка показва как да инсталирате OpenSSH 10.6 успоредно с пакета на дистрибуцията.
Генерирайте локално и пазете частния ключ
Изберете една команда и ново име на файл; не презаписвайте ключ. Задайте паролна фраза при запитване. Само .pub отива на сървъра; частният ключ остава на клиента. CH-J Key Generator е наличен още в Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Инсталирайте публичния ключ и тествайте
Поставете целия публичен ключ на един ред в ~/.ssh/authorized_keys на целевия акаунт. В Linux проверете собствеността и обичайно права 700 за .ssh и 600 за authorized_keys. Оставете сесията отворена и тествайте втори вход преди промяна на стария достъп. Потребителски и хост ключове имат различни роли.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example