Penjana Kunci SSH

RSA 2048-bit memenuhi piawaian keselamatan semasa dan diluluskan oleh NIST sekurang-kurangnya sehingga 2030. RSA 4096-bit menawarkan margin keselamatan yang lebih besar untuk kunci yang akan digunakan untuk bertahun-tahun, tetapi jauh lebih perlahan untuk operasi berjabat tangan (kira-kira 4 kali ganda lebih perlahan daripada 2048-bit). Untuk kebanyakan kes penggunaan — akses pelayan, GitHub/GitLab, saluran CI/CD — 2048-bit sudah memadai. Untuk kunci yang digunakan dalam persekitaran keselamatan tinggi atau dijangka digunakan untuk 10+ tahun, gunakan 4096-bit. Untuk kombinasi kelajuan dan keselamatan terbaik, gunakan Ed25519 sebagai ganti.

Frasa laluan menyulitkan fail kunci peribadi anda supaya walaupun seseorang memperoleh fail tersebut, mereka tidak boleh menggunakannya tanpa frasa laluan tersebut. Apabila anda menggunakan kunci tersebut, klien SSH anda akan meminta frasa laluan untuk menyahsulitkannya (ssh-agent boleh menyimpan kunci yang dinyahsulit dalam cache supaya anda tidak diminta berulang kali). Untuk kunci yang digunakan oleh pengguna (latif komputer anda ke pelayan anda), gunakan frasa laluan — ia menyediakan perlindungan kritikal jika mesin anda hilang atau dicuri. Untuk kunci pelaksanaan CI/CD automatik yang berjalan tanpa interaksi manusia, kunci yang dilindungi frasa laluan adalah tidak praktikal dan fail kunci mesti dikawal dengan cara lain (kebenaran fail, sistem pengurusan rahsia).

Salin kandungan kunci awam (bermula dengan "ssh-rsa" atau "ssh-ed25519") dan tampal ke fail ~/.ssh/authorized_keys pada pelayan anda. Satu kunci awam per baris. Jika direktori tidak wujud: mkdir -p ~/.ssh && chmod 700 ~/.ssh. Tetapkan kebenaran yang betul: chmod 600 ~/.ssh/authorized_keys. Kaedah terpantas dari mesin tempatan anda: ssh-copy-id user@hostname (menggunakan kata laluan anda untuk tetapan sekali ini). Selepas itu, SSH akan menggunakan kunci anda secara automatik. Kunci peribadi anda kekal di mesin tempatan sahaja dan tidak pernah dimuat naik ke mana-mana.

Komen adalah label yang tertanam dalam kunci awam selepas data kunci (contoh: ssh-ed25519 AAAA... user@laptop). Ia tidak memberi kesan kepada pengesahan — ia hanyalah untuk tujuan deskriptif. Gunakannya untuk mengenal pasti asal kunci apabila anda menyemak authorized_keys pada pelayan: siapa yang mencipta kunci ini, dari mesin mana, dan untuk tujuan apa. Format biasa: user@hostname (lalai), alamat e-mel anda, atau label deskriptif seperti "ci-deploy-prod-2026". Apabila anda mempunyai beberapa kunci dalam authorized_keys, komen yang bermakna adalah cara anda mengetahui kunci mana yang perlu dibatalkan jika berlaku masalah.

Cap jari adalah hash SHA-256 daripada kunci awam, dipaparkan dalam format Base64 (contoh: SHA256:abc123...). Ia adalah cara ringkas untuk mengenal pasti dan mengesahkan kunci tertentu. Apabila anda pertama kali menyambung ke pelayan dengan SSH, pelayan akan menunjukkan cap jari kunci hosnya — anda mengesahkannya untuk memastikan anda menyambung ke pelayan yang betul. Apabila anda memuat naik kunci awam ke GitHub, GitLab, atau perkhidmatan lain, mereka akan menunjukkan cap jari tersebut. Jika cap jari sepadan dengan apa yang ditunjukkan oleh alat ini, kunci telah dimuat naik dengan betul. Anda juga boleh menjalankan ssh-keygen -l -f ~/.ssh/id_ed25519 pada mesin anda untuk mengesahkan cap jari secara tempatan.

Ya. Semua penjanaan kunci menggunakan Web Crypto API, iaitu API pelayar asli yang menyediakan operasi selamat secara kriptografi yang disokong oleh sumber entropi sistem operasi. Penjanaan nombor rawak menggunakan crypto.getRandomValues(), bukan Math.random() yang tidak selamat. Kunci yang dijana adalah setara dari segi keselamatan dengan kunci yang dihasilkan oleh ssh-keygen pada baris perintah. Tiada apa-apa dihantar ke mana-mana pelayan — pasangan kunci hanya wujud dalam sesi pelayar anda.

Jangan sesekali menggantikan authorized_keys sedia ada anda — tampal kunci awam baharu anda sebagai entri tambahan. Kemudian buka sesi SSH kedua (tanpa menutup yang sedia ada) untuk menguji kunci baharu itu. Hanya selepas mengesahkan kunci baharu berfungsi, anda perlu membuang kunci lama atau menukar polisi kata laluan anda. Jika anda terkunci keluar, anda akan memerlukan akses konsol ke pelayan (penyedia awan memanggil ini sebagai "emergency console" atau "rescue mode") untuk menyunting authorized_keys secara manual.