Политика и совместимость
Ed25519 подходит, если его поддерживают сервер и политика безопасности. Используйте RSA 3072 или 4096, если этого требует совместимость или правила. Ключ RSA не равен старой SHA-1-подписи ssh-rsa: современный RSA использует SHA-2. Не включайте устаревшие подписи глобально.
Постквантовый гибрид: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 сочетает постквантовую подпись ML-DSA-44 с Ed25519: для подделки входа в систему потребовалось бы взломать оба алгоритма. CH-J Key Generator в Beta 0.1.2 создаёт этот тип ключа, а CH-J Tools добавляет его на сервер, только если на сервере работает OpenSSH 10.6 или новее. Более ранние выпуски его отвергают; некоторые из них, например 10.2p1 в Ubuntu 26.04, поддерживают только экспериментальный вариант …@openssh.com, который CH-J Tools не использует. Сохраните ключ Ed25519 или RSA в качестве запасного варианта для серверов и клиентов без поддержки. Руководство по ссылке ниже показывает, как установить OpenSSH 10.6 рядом с пакетом дистрибутива.
Создавайте локально и берегите закрытый ключ
Выберите одну команду и новое имя файла; не перезаписывайте ключи. По запросу задайте парольную фразу. На сервер идёт только .pub, закрытый ключ остаётся на клиенте. CH-J Key Generator уже доступен в Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Установите открытый ключ и проверьте
Поместите полный открытый ключ в одну строку ~/.ssh/authorized_keys целевого аккаунта. На Linux проверьте владельца и обычно права 700 для .ssh и 600 для authorized_keys. Сохраните текущий сеанс и проверьте второй вход до изменения старого доступа. Ключи пользователя и хоста выполняют разные роли.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example