Politik og kompatibilitet
Ed25519 passer, når server og sikkerhedspolitik tillader det. Brug RSA 3072 eller 4096, når kompatibilitet eller regler kræver det. En RSA-nøgle er ikke den gamle SHA-1-signatur ssh-rsa: moderne RSA kan bruge SHA-2. Genaktivér ikke gamle signaturer globalt.
Postkvantehybrid: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 kombinerer den postkvantesikre signatur ML-DSA-44 med Ed25519: et forfalsket login ville kræve, at begge algoritmer blev brudt. CH-J Key Generator i Beta 0.1.2 opretter denne nøgletype, og CH-J Tools tilføjer den kun til en server, hvis serveren kører OpenSSH 10.6 eller nyere. Ældre udgaver afviser den; nogle af dem, såsom 10.2p1 i Ubuntu 26.04, kender kun en eksperimentel …@openssh.com-variant, som CH-J Tools ikke bruger. Behold en Ed25519- eller RSA-nøgle som reserve til servere og klienter uden understøttelse. Vejledningen, der er linket til nedenfor, viser, hvordan du installerer OpenSSH 10.6 ved siden af distributionens pakke.
Generér lokalt og beskyt privatnøglen
Vælg én kommando og et nyt filnavn; overskriv ikke eksisterende nøgler. Angiv en adgangssætning, når du bliver spurgt. Kun .pub-filen hører til på serveren; privatnøglen bliver på klienten. CH-J Key Generator findes allerede i Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Installér offentlig nøgle og test
Indsæt hele den offentlige nøgle på én linje i målkontoens ~/.ssh/authorized_keys. På Linux kontrolleres ejer og normalt tilstand 700 for .ssh og 600 for authorized_keys. Hold den aktuelle session åben og test et andet login før gammel adgang ændres. Bruger- og værtsnøgler har forskellige formål.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example