Política e compatibilidade
Ed25519 é adequado quando servidor e políticas o permitem. Use RSA 3072 ou 4096 se a compatibilidade ou regras o exigirem. Uma chave RSA não equivale à antiga assinatura SHA-1 ssh-rsa: RSA moderno pode usar SHA-2. Não reative globalmente assinaturas antigas.
Híbrido pós-quântico: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 combina a assinatura pós-quântica ML-DSA-44 com Ed25519: falsificar um início de sessão exigiria quebrar ambos os algoritmos. O CH-J Key Generator em Beta 0.1.2 cria este tipo de chave, e o CH-J Tools só a adiciona a um servidor se esse servidor estiver a executar OpenSSH 10.6 ou posterior. As versões anteriores rejeitam-na; algumas delas, como a 10.2p1 no Ubuntu 26.04, apenas reconhecem uma variante experimental …@openssh.com que o CH-J Tools não utiliza. Guarde uma chave Ed25519 ou RSA como alternativa de recurso para servidores e clientes sem suporte. O guia na ligação abaixo mostra como instalar o OpenSSH 10.6 a par do pacote da distribuição.
Gere localmente e proteja a chave privada
Escolha um comando e um nome de ficheiro novo, sem substituir chaves existentes. Defina uma frase secreta quando solicitada. Só o ficheiro .pub vai para o servidor; a chave privada fica no cliente. CH-J Key Generator já existe na Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Instale a chave pública e teste
Coloque a chave pública completa numa linha em ~/.ssh/authorized_keys da conta de destino. Em Linux confirme proprietário e normalmente modos 700 para .ssh e 600 para authorized_keys. Mantenha a sessão atual e teste uma segunda ligação antes de alterar o acesso antigo. Chaves de utilizador e de servidor têm funções distintas.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example