ポリシーと互換性で選ぶ
サーバーとセキュリティ方針が対応していればEd25519は有用な選択です。互換性や方針が必要とする場合はRSA 3072または4096を使います。RSA鍵と旧SHA-1署名ssh-rsaは同義ではなく、現代のRSAはSHA-2を使用できます。旧署名を全体で再有効化しないでください。
ポスト量子ハイブリッド：ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 はポスト量子署名 ML-DSA-44 と Ed25519 を組み合わせたもので、ログインを偽装するには両方のアルゴリズムを破る必要があります。Beta 0.1.2 の CH-J Key Generator はこの鍵タイプの鍵を生成し、CH-J Tools はサーバーで OpenSSH 10.6 以降が動作している場合にのみ、その鍵をサーバーに追加します。それ以前のリリースでは拒否されます。Ubuntu 26.04 の 10.2p1 など、一部のリリースは実験的な …@openssh.com 形式のみを認識しますが、CH-J Tools はこの形式を使用しません。未対応のサーバーやクライアントに備え、予備として Ed25519 または RSA の鍵を保持してください。下のリンク先のガイドでは、ディストリビューションのパッケージと並行して OpenSSH 10.6 をインストールする方法を説明しています。
ローカルで生成し秘密鍵を保護
コマンドはどちらか1つを選び、新しいファイル名を使って既存の鍵を上書きしないでください。要求時にパスフレーズを設定します。サーバーに置くのは.pubだけで、秘密鍵はクライアントに残します。CH-J Key GeneratorはBeta 0.1.0ですでに利用できます。
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256公開鍵を設定してテスト
対象アカウントの~/.ssh/authorized_keysに公開鍵全体を1行で置きます。Linuxでは所有者と、通常.sshは700、authorized_keysは600の権限を確認します。現在の接続を維持し、旧アクセスを変える前に別の接続で試してください。ユーザー鍵とサーバーホスト鍵の役割は異なります。
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example