Ed25519 hay RSA: chọn và cài khóa SSH

Chính sách và tương thích

Ed25519 phù hợp khi máy chủ và chính sách hỗ trợ. Dùng RSA 3072 hoặc 4096 nếu quy định hoặc tương thích yêu cầu. Khóa RSA không đồng nghĩa chữ ký SHA-1 ssh-rsa cũ: RSA hiện đại có thể dùng SHA-2. Không bật lại chữ ký cũ trên toàn hệ thống.

Tạo cục bộ và bảo vệ khóa riêng

Chọn một lệnh và tên tệp mới, không ghi đè khóa hiện có. Đặt cụm mật khẩu khi được hỏi. Chỉ tệp .pub lên máy chủ, khóa riêng ở máy khách. CH-J Key Generator đã có trong Beta 0.1.0.

ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256

Cài khóa công khai rồi thử

Đặt toàn bộ khóa công khai trên một dòng ~/.ssh/authorized_keys của tài khoản đích. Trên Linux kiểm tra chủ sở hữu và thường quyền 700 cho .ssh, 600 cho authorized_keys. Giữ phiên hiện tại và thử lần đăng nhập thứ hai trước khi đổi truy cập cũ. Khóa người dùng và máy chủ có mục đích khác nhau.

ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example

Tài liệu chi tiết

OpenSSH: ssh-keygen →

OpenSSH: sshd_config →

Mở khóa sinh trắc học và bảo mật →