Policy och kompatibilitet
Ed25519 passar om servern och säkerhetspolicyn stöder det. Använd RSA 3072 eller 4096 om kompatibilitet eller regler kräver det. En RSA-nyckel är inte den gamla SHA-1-signaturen ssh-rsa: modernt RSA kan använda SHA-2. Återaktivera inte gamla signaturer globalt.
Postkvant hybrid: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 kombinerar den postkvanta signaturen ML-DSA-44 med Ed25519: en förfalskad inloggning skulle kräva att båda algoritmerna knäcks. CH-J Key Generator i Beta 0.1.2 skapar denna nyckeltyp, och CH-J Tools lägger bara till den på en server om servern kör OpenSSH 10.6 eller senare. Äldre utgåvor avvisar den; vissa av dem, som 10.2p1 i Ubuntu 26.04, känner bara till en experimentell …@openssh.com-variant som CH-J Tools inte använder. Behåll en Ed25519- eller RSA-nyckel som reserv för servrar och klienter utan stöd. Guiden som länkas nedan visar hur du installerar OpenSSH 10.6 vid sidan av distributionens paket.
Generera lokalt och skydda privatnyckeln
Välj ett kommando och ett nytt filnamn; skriv inte över befintliga nycklar. Ange en lösenfras vid frågan. Endast .pub-filen hör hemma på servern; privatnyckeln stannar på klienten. CH-J Key Generator finns redan i Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Installera den publika nyckeln och testa
Lägg hela den publika nyckeln på en rad i målkontots ~/.ssh/authorized_keys. Kontrollera ägare och vanligtvis läge 700 för .ssh och 600 för authorized_keys på Linux. Behåll aktuell session och testa en andra inloggning innan gammal åtkomst ändras. Användar- och värdnycklar har olika syften.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example