Dasar dan keserasian
Ed25519 sesuai jika pelayan dan dasar menyokongnya. Gunakan RSA 3072 atau 4096 jika keserasian atau peraturan memerlukan. Kunci RSA bukan tandatangan SHA-1 ssh-rsa lama: RSA moden boleh menggunakan SHA-2. Jangan aktifkan semula tandatangan lama secara global.
Hibrid pascakuantum: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 menggabungkan tandatangan pascakuantum ML-DSA-44 dengan Ed25519: pemalsuan log masuk memerlukan kedua-dua algoritma dipecahkan. CH-J Key Generator dalam Beta 0.1.2 menjana kunci jenis ini, dan CH-J Tools hanya menambahkannya pada pelayan jika pelayan itu menjalankan OpenSSH 10.6 atau lebih baharu. Keluaran terdahulu menolaknya; sesetengah keluaran tersebut, seperti 10.2p1 dalam Ubuntu 26.04, hanya mengenali varian percubaan …@openssh.com yang tidak digunakan oleh CH-J Tools. Simpan kunci Ed25519 atau RSA sebagai pilihan sandaran untuk pelayan dan klien yang tidak menyokongnya. Panduan yang dipautkan di bawah menunjukkan cara memasang OpenSSH 10.6 bersebelahan dengan pakej pengedaran.
Jana setempat dan lindungi kunci peribadi
Pilih satu arahan dan nama fail baharu; jangan timpa kunci sedia ada. Tetapkan frasa laluan apabila diminta. Fail .pub sahaja ke pelayan, kunci peribadi kekal pada klien. CH-J Key Generator sudah ada dalam Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Pasang kunci awam kemudian uji
Letakkan kunci awam lengkap dalam satu baris ~/.ssh/authorized_keys akaun sasaran. Pada Linux semak pemilik dan lazimnya mod 700 bagi .ssh serta 600 bagi authorized_keys. Kekalkan sesi semasa dan uji log masuk kedua sebelum mengubah akses lama. Kunci pengguna dan hos berbeza tujuannya.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example