Zásady a kompatibilita
Ed25519 je vhodný, keď ho podporujú server aj bezpečnostné pravidlá. RSA 3072 alebo 4096 použite podľa kompatibility či zásad. RSA kľúč nie je starý podpis SHA-1 ssh-rsa: moderné RSA používa aj SHA-2. Staré podpisy nezapínajte globálne.
Postkvantový hybrid: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 kombinuje postkvantový podpis ML-DSA-44 s Ed25519: podvrhnuté prihlásenie by vyžadovalo prelomenie oboch algoritmov. CH-J Key Generator v Beta 0.1.2 vytvára tento typ kľúča a CH-J Tools ho pridá na server iba vtedy, ak na serveri beží OpenSSH 10.6 alebo novší. Staršie vydania ho odmietajú; niektoré z nich, napríklad 10.2p1 v Ubuntu 26.04, poznajú iba experimentálny variant …@openssh.com, ktorý CH-J Tools nepoužíva. Pre servery a klientov bez podpory si ponechajte kľúč Ed25519 alebo RSA ako zálohu. Návod v odkaze nižšie ukazuje, ako nainštalovať OpenSSH 10.6 popri balíku distribúcie.
Generujte lokálne a chráňte súkromný kľúč
Vyberte jeden príkaz a nový názov súboru; existujúci kľúč neprepisujte. Na výzvu nastavte prístupovú frázu. Na server patrí iba .pub, súkromný kľúč zostáva na klientovi. CH-J Key Generator už existuje v Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Nainštalujte verejný kľúč a otestujte ho
Celý verejný kľúč vložte na jeden riadok v ~/.ssh/authorized_keys cieľového účtu. Na Linuxe overte vlastníctvo a zvyčajne režimy 700 pre .ssh a 600 pre authorized_keys. Súčasnú reláciu ponechajte otvorenú a pred zmenou starého prístupu otestujte druhé prihlásenie. Používateľské a hostiteľské kľúče majú iný účel.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example