Nach Richtlinie und Kompatibilität entscheiden
Ed25519 ist geeignet, wenn Server und Sicherheitsrichtlinie es unterstützen. Verwenden Sie RSA 3072 oder 4096, wenn Kompatibilität oder Vorgaben es verlangen. Ein RSA-Schlüssel ist nicht die alte SHA-1-Signatur ssh-rsa: modernes RSA kann SHA-2 nutzen. Alte Signaturen nicht global reaktivieren.
Post-Quanten-Hybrid: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 kombiniert die Post-Quanten-Signatur ML-DSA-44 mit Ed25519: Eine gefälschte Anmeldung müsste beide Algorithmen brechen. CH-J Key Generator in Beta 0.1.2 erzeugt diesen Schlüsseltyp, und CH-J Tools fügt ihn einem Server nur hinzu, wenn dort OpenSSH 10.6 oder neuer läuft. Ältere Versionen lehnen ihn ab; manche, etwa 10.2p1 in Ubuntu 26.04, kennen nur eine experimentelle Variante …@openssh.com, die CH-J Tools nicht verwendet. Behalten Sie für Server und Clients ohne Unterstützung einen Ed25519- oder RSA-Schlüssel. Die unten verlinkte Anleitung zeigt, wie Sie OpenSSH 10.6 neben dem Paket der Distribution installieren.
Lokal erzeugen und privaten Schlüssel schützen
Wählen Sie einen Befehl und einen neuen Dateinamen; vorhandene Schlüssel nicht überschreiben. Vergeben Sie auf Nachfrage eine Passphrase. Nur die .pub-Datei gehört auf den Server. Der private Schlüssel bleibt beim Client. CH-J Key Generator ist bereits in Beta 0.1.0 verfügbar.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Öffentlichen Schlüssel eintragen und testen
Tragen Sie den vollständigen öffentlichen Schlüssel als eine Zeile in ~/.ssh/authorized_keys des Zielkontos ein. Prüfen Sie unter Linux Kontoeigentum und üblicherweise Modus 700 für .ssh und 600 für authorized_keys. Lassen Sie die Sitzung offen und testen Sie eine zweite Anmeldung vor Änderung des alten Zugangs. Benutzer- und Hostschlüssel erfüllen unterschiedliche Aufgaben.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example