Chính sách và tương thích
Ed25519 phù hợp khi máy chủ và chính sách hỗ trợ. Dùng RSA 3072 hoặc 4096 nếu quy định hoặc tương thích yêu cầu. Khóa RSA không đồng nghĩa chữ ký SHA-1 ssh-rsa cũ: RSA hiện đại có thể dùng SHA-2. Không bật lại chữ ký cũ trên toàn hệ thống.
Kết hợp hậu lượng tử: ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 kết hợp chữ ký hậu lượng tử ML-DSA-44 với Ed25519: để giả mạo đăng nhập, kẻ tấn công sẽ phải phá vỡ cả hai thuật toán. CH-J Key Generator trong Beta 0.1.2 tạo loại khóa này, và CH-J Tools chỉ thêm khóa vào máy chủ khi máy chủ đó chạy OpenSSH 10.6 trở lên. Các bản phát hành cũ hơn sẽ từ chối khóa này; một số bản, chẳng hạn 10.2p1 trong Ubuntu 26.04, chỉ nhận biết biến thể thử nghiệm …@openssh.com mà CH-J Tools không sử dụng. Hãy giữ một khóa Ed25519 hoặc RSA làm phương án dự phòng cho các máy chủ và máy khách chưa hỗ trợ. Hướng dẫn được liên kết bên dưới chỉ cách cài đặt OpenSSH 10.6 song song với gói của bản phân phối.
Tạo cục bộ và bảo vệ khóa riêng
Chọn một lệnh và tên tệp mới, không ghi đè khóa hiện có. Đặt cụm mật khẩu khi được hỏi. Chỉ tệp .pub lên máy chủ, khóa riêng ở máy khách. CH-J Key Generator đã có trong Beta 0.1.0.
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256Cài khóa công khai rồi thử
Đặt toàn bộ khóa công khai trên một dòng ~/.ssh/authorized_keys của tài khoản đích. Trên Linux kiểm tra chủ sở hữu và thường quyền 700 cho .ssh, 600 cho authorized_keys. Giữ phiên hiện tại và thử lần đăng nhập thứ hai trước khi đổi truy cập cũ. Khóa người dùng và máy chủ có mục đích khác nhau.
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example