Pravila in združljivost
Ed25519 je primeren, če ga podpirata strežnik in varnostna politika. Uporabite RSA 3072 ali 4096, kadar to zahteva združljivost ali politika. Ključ RSA ni stari podpis SHA-1 ssh-rsa: sodobni RSA lahko uporablja SHA-2. Starih podpisov ne omogočite globalno.
Postkvantni hibrid: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 združuje postkvantni podpis ML-DSA-44 z Ed25519: za ponarejeno prijavo bi bilo treba zlomiti oba algoritma. CH-J Key Generator v Beta 0.1.2 ustvari ta tip ključa, CH-J Tools pa ga na strežnik doda le, če na njem teče OpenSSH 10.6 ali novejši. Starejše izdaje ga zavrnejo; nekatere, na primer 10.2p1 v Ubuntu 26.04, poznajo le poskusno različico …@openssh.com, ki je CH-J Tools ne uporablja. Za strežnike in odjemalce brez podpore obdržite ključ Ed25519 ali RSA kot rezervno možnost. Vodič na spodnji povezavi prikazuje, kako namestiti OpenSSH 10.6 ob paketu distribucije.
Ustvarite lokalno in zaščitite zasebni ključ
Izberite en ukaz in novo ime datoteke; ne prepišite obstoječega ključa. Ob pozivu nastavite geselno frazo. Na strežnik sodi samo .pub, zasebni ključ ostane pri odjemalcu. CH-J Key Generator je že v Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Namestite javni ključ in preskusite
Celoten javni ključ vpišite v eno vrstico ~/.ssh/authorized_keys ciljnega računa. Na Linuxu preverite lastništvo in običajno načina 700 za .ssh ter 600 za authorized_keys. Pustite sedanjo sejo odprto in preskusite drugo prijavo pred spremembo starega dostopa. Uporabniški in gostiteljski ključi imajo različen namen.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example