سیاست و سازگاری
Ed25519 در صورت پشتیبانی سرور و سیاست امنیتی مناسب است. اگر سازگاری یا قواعد نیاز دارند از RSA 3072 یا 4096 استفاده کنید. کلید RSA همان امضای قدیمی SHA-1 ssh-rsa نیست؛ RSA جدید می‌تواند SHA-2 داشته باشد. امضاهای قدیمی را سراسری فعال نکنید.
ترکیب پساکوانتومی: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 امضای پساکوانتومی ML-DSA-44 را با Ed25519 ترکیب می‌کند: جعل ورود مستلزم شکستن هر دو الگوریتم است. CH-J Key Generator در Beta 0.1.2 این نوع کلید را می‌سازد و CH-J Tools تنها زمانی آن را به سرور اضافه می‌کند که سرور OpenSSH 10.6 یا جدیدتر را اجرا کند. نسخه‌های قدیمی‌تر آن را رد می‌کنند؛ برخی از آن‌ها، مانند 10.2p1 در Ubuntu 26.04، فقط گونهٔ آزمایشی …@openssh.com را می‌شناسند که CH-J Tools از آن استفاده نمی‌کند. برای سرورها و کلاینت‌هایی که از این نوع کلید پشتیبانی نمی‌کنند، یک کلید Ed25519 یا RSA به‌عنوان گزینهٔ پشتیبان نگه دارید. راهنمای پیوندشده در پایین نشان می‌دهد چگونه OpenSSH 10.6 را در کنار بستهٔ توزیع نصب کنید.
محلی بسازید و کلید خصوصی را حفاظت کنید
یک دستور و نام فایل جدید انتخاب کنید؛ کلید موجود را بازنویسی نکنید. هنگام درخواست، عبارت عبور بگذارید. فقط فایل .pub به سرور می‌رود؛ کلید خصوصی در کلاینت می‌ماند. CH-J Key Generator از Beta 0.1.0 موجود است.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256کلید عمومی را نصب و آزمایش کنید
کلید عمومی کامل را در یک خط ~/.ssh/authorized_keys حساب مقصد بگذارید. در Linux مالکیت و معمولاً مجوز 700 برای .ssh و 600 برای authorized_keys را بررسی کنید. نشست فعلی را باز نگه دارید و پیش از تغییر دسترسی قدیمی ورود دوم را آزمایش کنید. کلید کاربر و میزبان کاربردهای متفاوت دارند.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example