เลือกตามนโยบายและความเข้ากันได้
Ed25519 เหมาะเมื่อเซิร์ฟเวอร์และนโยบายรองรับ ใช้ RSA 3072 หรือ 4096 เมื่อต้องตามนโยบายหรือความเข้ากันได้ คีย์ RSA ไม่ใช่ลายเซ็น SHA-1 ssh-rsa รุ่นเก่า โดย RSA สมัยใหม่ใช้ SHA-2 ได้ อย่าเปิดลายเซ็นเก่าทั้งระบบ
ไฮบริดแบบหลังควอนตัม: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 ผสานลายเซ็นแบบหลังควอนตัม ML-DSA-44 เข้ากับ Ed25519 การปลอมแปลงการเข้าสู่ระบบจึงต้องเจาะอัลกอริทึมทั้งสองให้ได้ CH-J Key Generator ใน Beta 0.1.2 สร้างคีย์ประเภทนี้ และ CH-J Tools จะเพิ่มคีย์ลงในเซิร์ฟเวอร์ก็ต่อเมื่อเซิร์ฟเวอร์นั้นใช้ OpenSSH 10.6 หรือใหม่กว่า รุ่นเก่าจะปฏิเสธคีย์ดังกล่าว บางรุ่น เช่น 10.2p1 ใน Ubuntu 26.04 รองรับเพียงรูปแบบทดลอง …@openssh.com ซึ่ง CH-J Tools ไม่ได้ใช้ โปรดเก็บคีย์ Ed25519 หรือ RSA ไว้เป็นทางเลือกสำรองสำหรับเซิร์ฟเวอร์และไคลเอนต์ที่ยังไม่รองรับ คู่มือในลิงก์ด้านล่างแสดงวิธีติดตั้ง OpenSSH 10.6 ควบคู่กับแพ็กเกจของดิสทริบิวชัน
สร้างในเครื่องและป้องกันคีย์ส่วนตัว
เลือกคำสั่งเดียวและชื่อไฟล์ใหม่ ไม่เขียนทับคีย์เดิม ตั้งวลีรหัสผ่านเมื่อถาม ส่งเฉพาะไฟล์ .pub ขึ้นเซิร์ฟเวอร์ คีย์ส่วนตัวอยู่ที่ไคลเอนต์ CH-J Key Generator มีอยู่แล้วใน Beta 0.1.0
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256ติดตั้งคีย์สาธารณะแล้วทดสอบ
ใส่คีย์สาธารณะครบในบรรทัดเดียวของ ~/.ssh/authorized_keys บัญชีเป้าหมาย บน Linux ตรวจเจ้าของและสิทธิ์โดยทั่วไป 700 สำหรับ .ssh และ 600 สำหรับ authorized_keys คงเซสชันเดิมไว้และทดสอบล็อกอินที่สองก่อนเปลี่ยนทางเข้าเก่า คีย์ผู้ใช้กับคีย์โฮสต์มีหน้าที่ต่างกัน
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example