依原則與相容性選擇
伺服器與安全原則允許時，Ed25519 是有用的選擇。相容性或原則要求時使用 RSA 3072 或 4096。RSA 金鑰不等於舊 SHA-1 ssh-rsa 簽章；現代 RSA 可使用 SHA-2。不要全域重新啟用舊簽章。
後量子混合方案：ssh-mldsa44-ed25519
ssh-mldsa44-ed25519 結合後量子簽章 ML-DSA-44 與 Ed25519：偽造登入需要破解這兩種演算法。Beta 0.1.2 中的 CH-J Key Generator 可產生此金鑰類型，而 CH-J Tools 只有在伺服器執行 OpenSSH 10.6 或更新版本時，才會將其新增至伺服器。舊版本會拒絕此金鑰；其中某些版本，例如 Ubuntu 26.04 中的 10.2p1，只支援實驗性的 …@openssh.com 變體，而 CH-J Tools 並未使用該變體。請保留一把 Ed25519 或 RSA 金鑰，作為不支援此類型的伺服器與用戶端的備用方案。下方連結中的指南說明如何在保留發行版套件的同時安裝 OpenSSH 10.6。
在本機產生並保護私密金鑰
選擇一個產生指令及新檔名，不要覆寫現有金鑰。在提示時設定密碼片語。伺服器只應接收 .pub 檔案，私密金鑰留在用戶端。CH-J Key Generator 在 Beta 0.1.0 已可用。
ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256安裝公開金鑰再測試
將完整公開金鑰以一行放入目標帳戶的 ~/.ssh/authorized_keys。Linux 上確認擁有者，通常 .ssh 權限為 700，authorized_keys 為 600。保持目前工作階段，在變更舊存取方式前測試第二次登入。使用者金鑰與伺服器主機金鑰用途不同。
ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example