Criteri e compatibilità
Ed25519 è adatto se server e criteri lo consentono. Usa RSA 3072 o 4096 se richiesto da compatibilità o regole. Una chiave RSA non coincide con la vecchia firma SHA-1 ssh-rsa: RSA moderno può usare SHA-2. Non riattivare globalmente firme obsolete.
Ibrido post-quantistico: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 combina la firma post-quantistica ML-DSA-44 con Ed25519: falsificare un accesso richiederebbe di violare entrambi gli algoritmi. CH-J Key Generator in Beta 0.1.2 crea questo tipo di chiave e CH-J Tools la aggiunge a un server solo se questo esegue OpenSSH 10.6 o successivo. Le versioni precedenti la rifiutano; alcune, come la 10.2p1 in Ubuntu 26.04, riconoscono solo una variante sperimentale …@openssh.com che CH-J Tools non utilizza. Conserva una chiave Ed25519 o RSA come alternativa per server e client privi di supporto. La guida al link qui sotto mostra come installare OpenSSH 10.6 accanto al pacchetto della distribuzione.
Genera localmente e proteggi la chiave privata
Scegli un comando e un nuovo nome di file, senza sovrascrivere chiavi esistenti. Imposta una passphrase alla richiesta. Solo il file .pub va sul server; la chiave privata resta sul client. CH-J Key Generator è già disponibile in Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Installa la chiave pubblica e prova
Inserisci la chiave pubblica completa su una riga in ~/.ssh/authorized_keys dell’account destinazione. Su Linux controlla proprietario e normalmente permessi 700 per .ssh e 600 per authorized_keys. Lascia aperta la sessione attuale e prova un secondo accesso prima di cambiare quello precedente. Chiavi utente e host hanno ruoli diversi.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example