Beleid en compatibiliteit
Ed25519 past wanneer server en beleid het toestaan. Gebruik RSA 3072 of 4096 wanneer compatibiliteit of regels dat vereisen. Een RSA-sleutel is niet hetzelfde als de oude SHA-1-handtekening ssh-rsa: modern RSA ondersteunt SHA-2. Activeer oude handtekeningen niet wereldwijd opnieuw.
Postkwantumhybride: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 combineert de postkwantumhandtekening ML-DSA-44 met Ed25519: voor een vervalste aanmelding zouden beide algoritmen moeten worden gekraakt. CH-J Key Generator in Beta 0.1.2 maakt dit sleuteltype aan, en CH-J Tools voegt het alleen aan een server toe als die server OpenSSH 10.6 of nieuwer draait. Oudere releases weigeren het; sommige daarvan, zoals 10.2p1 in Ubuntu 26.04, herkennen alleen een experimentele …@openssh.com-variant die CH-J Tools niet gebruikt. Bewaar een Ed25519- of RSA-sleutel als terugvaloptie voor servers en clients zonder ondersteuning. De hieronder gelinkte handleiding laat zien hoe je OpenSSH 10.6 naast het pakket van de distributie installeert.
Genereer lokaal en bescherm de privésleutel
Kies één opdracht en een nieuwe bestandsnaam; overschrijf geen bestaande sleutel. Stel op verzoek een wachtwoordzin in. Alleen het .pub-bestand gaat naar de server; de privésleutel blijft op de client. CH-J Key Generator bestaat al in Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Installeer de publieke sleutel en test
Plaats de volledige publieke sleutel op één regel in ~/.ssh/authorized_keys van het doelaccount. Controleer op Linux eigendom en doorgaans modus 700 voor .ssh en 600 voor authorized_keys. Houd uw sessie open en test een tweede aanmelding vóór oude toegang wijzigt. Gebruikers- en hostsleutels hebben verschillende doelen.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example