Πολιτική και συμβατότητα
Το Ed25519 ταιριάζει αν το υποστηρίζουν διακομιστής και πολιτική ασφάλειας. Χρησιμοποιήστε RSA 3072 ή 4096 όταν απαιτείται. Ένα κλειδί RSA δεν είναι η παλιά υπογραφή SHA-1 ssh-rsa: το σύγχρονο RSA χρησιμοποιεί SHA-2. Μην ενεργοποιείτε παλιές υπογραφές καθολικά.
Μετακβαντικό υβρίδιο: ssh-mldsa44-ed25519
Το ssh-mldsa44-ed25519 συνδυάζει τη μετακβαντική υπογραφή ML-DSA-44 με το Ed25519: μια πλαστογραφημένη σύνδεση θα απαιτούσε την παραβίαση και των δύο αλγορίθμων. Το CH-J Key Generator στην Beta 0.1.2 δημιουργεί αυτόν τον τύπο κλειδιού και το CH-J Tools τον προσθέτει σε έναν διακομιστή μόνο όταν σε αυτόν εκτελείται OpenSSH 10.6 ή νεότερο. Οι παλαιότερες εκδόσεις τον απορρίπτουν· ορισμένες από αυτές, όπως η 10.2p1 στο Ubuntu 26.04, αναγνωρίζουν μόνο μια πειραματική παραλλαγή …@openssh.com, την οποία δεν χρησιμοποιεί το CH-J Tools. Διατηρήστε ένα κλειδί Ed25519 ή RSA ως εφεδρική λύση για διακομιστές και πελάτες χωρίς υποστήριξη. Ο οδηγός στον παρακάτω σύνδεσμο δείχνει πώς να εγκαταστήσετε το OpenSSH 10.6 παράλληλα με το πακέτο της διανομής.
Δημιουργήστε τοπικά και προστατέψτε το ιδιωτικό κλειδί
Επιλέξτε μία εντολή και νέο όνομα αρχείου· μην αντικαθιστάτε υπάρχον κλειδί. Ορίστε φράση πρόσβασης όταν ζητηθεί. Μόνο το .pub πηγαίνει στον διακομιστή, το ιδιωτικό κλειδί μένει στον πελάτη. Το CH-J Key Generator υπάρχει ήδη στην Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Εγκαταστήστε το δημόσιο κλειδί και δοκιμάστε
Τοποθετήστε ολόκληρο το δημόσιο κλειδί σε μία γραμμή στο ~/.ssh/authorized_keys του λογαριασμού στόχου. Στο Linux ελέγξτε ιδιοκτησία και συνήθως δικαιώματα 700 για .ssh και 600 για authorized_keys. Κρατήστε ανοιχτή τη συνεδρία και δοκιμάστε δεύτερη σύνδεση πριν αλλάξετε την παλιά πρόσβαση. Κλειδιά χρήστη και διακομιστή έχουν διαφορετικό ρόλο.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example