Reeglid ja ühilduvus
Ed25519 sobib, kui server ja turvapoliitika seda toetavad. Kasuta RSA 3072 või 4096, kui nõuab ühilduvus või poliitika. RSA-võti pole vana SHA-1 allkiri ssh-rsa: tänapäevane RSA toetab SHA-2. Ära luba vanu allkirju üleüldiselt uuesti.
Kvantkindel hübriid: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 ühendab kvantkindla allkirja ML-DSA-44 ja Ed25519: sisselogimise võltsimiseks tuleks murda mõlemad algoritmid. CH-J Key Generator loob versioonis Beta 0.1.2 seda tüüpi võtme ja CH-J Tools lisab selle serverisse ainult siis, kui serveris töötab OpenSSH 10.6 või uuem. Vanemad väljalasked lükkavad selle tagasi; mõned neist, näiteks Ubuntu 26.04 koosseisus olev 10.2p1, tunnevad ainult eksperimentaalset varianti …@openssh.com, mida CH-J Tools ei kasuta. Hoia Ed25519 või RSA võti varuvariandina alles serverite ja klientide jaoks, millel vastav tugi puudub. Allpool lingitud juhend näitab, kuidas paigaldada OpenSSH 10.6 distributsiooni paketi kõrvale.
Genereeri kohalikult ja kaitse privaatvõtit
Vali üks käsk ja uus failinimi; ära kirjuta olemasolevat võtit üle. Sisesta küsimisel paroolifraas. Serverisse läheb ainult .pub-fail, privaatvõti jääb kliendile. CH-J Key Generator on olemas juba Beta 0.1.0-s.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Paigalda avalik võti ja testi
Aseta terve avalik võti ühe reana sihtkonto ~/.ssh/authorized_keys-faili. Linuxis kontrolli omanikku ja tavaliselt õigusi 700 kataloogile .ssh ning 600 failile authorized_keys. Hoia seanss avatuna ja testi teist sisselogimist enne vana pääsu muutmist. Kasutaja- ja hostivõtmetel on erinev eesmärk.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example