Politika ir suderinamumas
Ed25519 tinka, kai jį palaiko serveris ir saugumo politika. Naudokite RSA 3072 ar 4096, kai reikalauja suderinamumas ar taisyklės. RSA raktas nėra senasis SHA-1 parašas ssh-rsa: šiuolaikinis RSA palaiko SHA-2. Neįjunkite senų parašų visuotinai.
Postkvantinis hibridas: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 sujungia postkvantinį parašą ML-DSA-44 su Ed25519: norint suklastoti prisijungimą, reikėtų įveikti abu algoritmus. CH-J Key Generator versijoje Beta 0.1.2 sukuria šio tipo raktą, o CH-J Tools prideda jį į serverį tik tada, kai jame veikia OpenSSH 10.6 arba naujesnė versija. Ankstesnės laidos jį atmeta; kai kurios iš jų, pavyzdžiui, 10.2p1 sistemoje Ubuntu 26.04, atpažįsta tik eksperimentinį …@openssh.com variantą, kurio CH-J Tools nenaudoja. Pasilikite Ed25519 arba RSA raktą kaip atsarginį variantą serveriams ir klientams, nepalaikantiems šio tipo rakto. Toliau pateiktoje nuorodoje esantis vadovas parodo, kaip įdiegti OpenSSH 10.6 greta distribucijos paketo.
Generuokite vietoje ir saugokite privatų raktą
Pasirinkite vieną komandą ir naują failo vardą; neperrašykite esamo rakto. Gavę užklausą nustatykite slaptafrazę. Į serverį keliauja tik .pub failas, privatus raktas lieka kliente. CH-J Key Generator jau yra Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Įdiekite viešąjį raktą ir išbandykite
Visą viešąjį raktą įrašykite vienoje eilutėje tikslinės paskyros ~/.ssh/authorized_keys. Linux tikrinkite savininką ir įprastai teises 700 katalogui .ssh bei 600 failui authorized_keys. Palikite dabartinį seansą ir išbandykite antrą prisijungimą prieš keisdami seną prieigą. Naudotojo ir serverio raktai atlieka skirtingas funkcijas.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example