SSH klíče Ed25519 vs. RSA: které zvolit a jak je nasadit

Rozhodujte podle zásad a kompatibility

Ed25519 je vhodná volba, pokud ho podporuje server i bezpečnostní zásady. RSA 3072 nebo 4096 použijte, vyžaduje-li ho kompatibilita či pravidla. RSA klíč není totéž co starý SHA-1 podpis ssh-rsa: moderní RSA umí SHA-2. Staré podpisy nezapínejte globálně.

Generujte lokálně a chraňte soukromý klíč

Zvolte jeden příkaz a nový název souboru; existující klíč nepřepisujte. Na výzvu nastavte přístupovou frázi. Na server patří pouze soubor .pub. Soukromý klíč zůstává na klientovi. Generátor klíčů CH-J je dostupný už v Beta 0.1.0.

ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_chj
ssh-keygen -t rsa -b 3072 -f ~/.ssh/id_rsa_chj
ssh-keygen -lf ~/.ssh/id_ed25519_chj.pub -E sha256

Nainstalujte veřejný klíč a otestujte ho

Celý veřejný klíč vložte na jeden řádek do ~/.ssh/authorized_keys cílového účtu. Na Linuxu ověřte vlastnictví účtem a obvykle režim 700 pro .ssh a 600 pro authorized_keys. Stávající relaci nechte otevřenou a před změnou původního přístupu vyzkoušejte druhé přihlášení zvoleným klíčem. Uživatelský klíč a klíč serveru mají odlišný účel.

ls -ld ~/.ssh ~/.ssh/authorized_keys
ssh -o IdentitiesOnly=yes -i ~/.ssh/id_ed25519_chj user@server.example

Podrobná dokumentace

OpenSSH: ssh-keygen →

OpenSSH: sshd_config →

Biometrické odemykání a zabezpečení →