Ed25519 czy RSA: wybór i instalacja kluczy SSH

Zasady i zgodność

Ed25519 jest odpowiedni, gdy obsługuje go serwer i zasady bezpieczeństwa. Użyj RSA 3072 lub 4096, jeśli wymaga tego zgodność lub polityka. Klucz RSA nie oznacza starego podpisu SHA-1 ssh-rsa: nowoczesne RSA używa SHA-2. Nie włączaj globalnie starych podpisów.

Generuj lokalnie i chroń klucz prywatny

Wybierz jedno polecenie i nową nazwę pliku; nie nadpisuj istniejącego klucza. Ustaw hasło na żądanie. Tylko plik .pub trafia na serwer; prywatny klucz zostaje na kliencie. CH-J Key Generator jest już w Beta 0.1.0.

ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256

Zainstaluj klucz publiczny i przetestuj

Umieść cały klucz publiczny w jednym wierszu ~/.ssh/authorized_keys konta docelowego. Na Linuksie sprawdź właściciela i zwykle prawa 700 dla .ssh oraz 600 dla authorized_keys. Zachowaj obecną sesję i przetestuj drugie logowanie przed zmianą starego dostępu. Klucze użytkownika i hosta pełnią różne role.

ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example

Dokumentacja szczegółowa

OpenSSH: ssh-keygen →

OpenSSH: sshd_config →

Biometryczne odblokowanie i bezpieczeństwo →