Zasady i zgodność
Ed25519 jest odpowiedni, gdy obsługuje go serwer i zasady bezpieczeństwa. Użyj RSA 3072 lub 4096, jeśli wymaga tego zgodność lub polityka. Klucz RSA nie oznacza starego podpisu SHA-1 ssh-rsa: nowoczesne RSA używa SHA-2. Nie włączaj globalnie starych podpisów.
Hybryda postkwantowa: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 łączy postkwantowy podpis ML-DSA-44 z Ed25519: sfałszowanie logowania wymagałoby złamania obu algorytmów. CH-J Key Generator w Beta 0.1.2 tworzy ten typ klucza, a CH-J Tools dodaje go do serwera tylko wtedy, gdy na serwerze działa OpenSSH 10.6 lub nowszy. Starsze wydania go odrzucają; niektóre z nich, takie jak 10.2p1 w Ubuntu 26.04, rozpoznają tylko eksperymentalny wariant …@openssh.com, którego CH-J Tools nie używa. Zachowaj klucz Ed25519 lub RSA jako rozwiązanie zapasowe dla serwerów i klientów bez obsługi tego typu klucza. Poradnik pod poniższym odnośnikiem pokazuje, jak zainstalować OpenSSH 10.6 obok pakietu dystrybucji.
Generuj lokalnie i chroń klucz prywatny
Wybierz jedno polecenie i nową nazwę pliku; nie nadpisuj istniejącego klucza. Ustaw hasło na żądanie. Tylko plik .pub trafia na serwer; prywatny klucz zostaje na kliencie. CH-J Key Generator jest już w Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Zainstaluj klucz publiczny i przetestuj
Umieść cały klucz publiczny w jednym wierszu ~/.ssh/authorized_keys konta docelowego. Na Linuksie sprawdź właściciela i zwykle prawa 700 dla .ssh oraz 600 dla authorized_keys. Zachowaj obecną sesję i przetestuj drugie logowanie przed zmianą starego dostępu. Klucze użytkownika i hosta pełnią różne role.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example