ตัวสร้างคีย์ SSH

RSA 2048-bit เป็นไปตามมาตรฐานความปลอดภัยในปัจจุบันและได้รับการอนุมัติจาก NIST จนถึงอย่างน้อยปี 2030 ส่วน RSA 4096-bit ให้ระยะความปลอดภัยที่มากขึ้นสำหรับกุญแจที่จะใช้งานยาวนานหลายปี แต่จะทำงานช้ากว่าอย่างเห็นได้ชัดในการทำ handshake (ช้ากว่าประมาณ 4 เท่าเมื่อเทียบกับ 2048-bit) สำหรับการใช้งานส่วนใหญ่ เช่น การเข้าถึงเซิร์ฟเวอร์, GitHub/GitLab, CI/CD pipelines — ขนาด 2048-bit ก็เพียงพอแล้ว สำหรับกุญแจที่ใช้ในสภาพแวดล้อมที่มีความปลอดภัยสูงหรือคาดว่าจะใช้งานนานกว่า 10 ปี ให้ใช้ 4096-bit และเพื่อให้ได้ความสมดุลที่ดีที่สุดระหว่างความเร็วและความปลอดภัย ควรใช้ Ed25519 แทน

Passphrase จะทำหน้าที่เข้ารหัสไฟล์ private key ของคุณ เพื่อที่ว่าแม้จะมีคนได้ไฟล์ไป พวกเขาก็ไม่สามารถใช้งานได้หากไม่มี passphrase เมื่อคุณใช้กุญแจ ไคลเอนต์ SSH จะถามหา passphrase เพื่อถอดรหัส (ssh-agent สามารถเก็บข้อมูลกุญแจที่ถูกถอดรหัสแล้วไว้ในแคชเพื่อให้ไม่ต้องพิมพ์ซ้ำๆ) สำหรับกุญแจที่ผู้ใช้ต้องใช้งานโดยตรง (เช่น จากแล็ปท็อปไปยังเซิร์ฟเวอร์ของคุณ) ให้ใช้ passphrase — เพราะมันจะช่วยป้องกันที่สำคัญหากเครื่องของคุณสูญหายหรือถูกขโมย แต่สำหรับกุญแจการติดตั้งอัตโนมัติใน CI/CD ที่ทำงานโดยไม่มีการปฏิสัมพันธ์จากมนุษย์ การใช้กุญแจที่ล็อกด้วย passphrase นั้นไม่สะดวกและไฟล์กุญแจต้องได้รับการรักษาความปลอดภัยด้วยวิธีอื่นแทน (เช่น สิทธิ์การเข้าถึงไฟล์ หรือระบบจัดการความลับ)

คัดลอกเนื้อหาของ public key (ที่เริ่มต้นด้วย "ssh-rsa" หรือ "ssh-ed25519") และนำไปต่อท้ายในไฟล์ ~/.ssh/authorized_keys บนเซิร์ฟเวอร์ของคุณ โดยให้มี public key หนึ่งอันต่อหนึ่งบรรทัด หากยังไม่มีไดเรกทอรี ให้ใช้: mkdir -p ~/.ssh && chmod 700 ~/.ssh ตั้งค่าสิทธิ์ที่ถูกต้องด้วย: chmod 600 ~/.ssh/authorized_keys วิธีที่เร็วที่สุดจากเครื่องของคุณคือ: ssh-copy-id user@hostname (โดยใช้รหัสผ่านสำหรับการตั้งค่าครั้งแรกนี้) หลังจากนั้น SSH จะใช้กุญแจของคุณโดยอัตโนมัติ โดย private key ของคุณจะยังคงอยู่ในเครื่องของคุณเท่านั้นและไม่มีการอัปโหลดไปที่ใดเลย

Comment คือป้ายกำกับที่ฝังอยู่ใน public key หลังจากข้อมูลกุญแจ (เช่น ssh-ed25519 AAAA... user@laptop) มันไม่มีผลต่อการยืนยันตัวตน — เป็นเพียงคำอธิบายเท่านั้น ให้ใช้เพื่อระบุแหล่งที่มาของกุญแจเมื่อคุณตรวจสอบ authorized_keys บนเซิร์ฟเวอร์: ใครเป็นคนสร้างกุญแจนี้ สร้างจากเครื่องไหน และเพื่อวัตถุประสงค์อะไร รูปแบบทั่วไปคือ: user@hostname (ค่าเริ่มต้น), ที่อยู่อีเมลของคุณ หรือป้ายกำกับที่อธิบายได้ เช่น "ci-deploy-prod-2026" เมื่อคุณมีกุญแจหลายอันใน authorized_keys การมี comment ที่สื่อความหมายจะช่วยให้คุณรู้ว่าต้องยกเลิกกุญแจอันไหนหากเกิดปัญหา

ลายนิ้วมือ (Fingerprint) คือค่า hash แบบ SHA-256 ของ public key ซึ่งแสดงในรูปแบบ Base64 (เช่น SHA256:abc123...) มันเป็นวิธีที่กระชับในการระบุและยืนยันกุญแจเฉพาะอัน เมื่อคุณเชื่อมต่อกับเซิร์ฟเวอร์ด้วย SSH ครั้งแรก เซิร์ฟเวอร์จะแสดงลายนิ้วมือของ host key ให้คุณตรวจสอบเพื่อยืนยันว่าคุณกำลังเชื่อมต่อกับเซิร์ฟเวอร์ที่ถูกต้อง เมื่อคุณอัปโหลด public key ไปยัง GitHub, GitLab หรือบริการอื่นๆ พวกเขาจะแสดงลายนิ้วมือให้เห็น หากลายนิ้วมือตรงกับที่เครื่องมือนี้แสดง แสดงว่ากุญแจถูกอัปโหลดอย่างถูกต้อง คุณยังสามารถรัน ssh-keygen -l -f ~/.ssh/id_ed25519 บนเครื่องของคุณเพื่อตรวจสอบลายนิ้วมือในเครื่องได้

ใช่ กุญแจทั้งหมดถูกสร้างโดยใช้ Web Crypto API ซึ่งเป็น Native Browser API ที่ให้การทำงานด้านการเข้ารหัสลับที่ปลอดภัยโดยได้รับการสนับสนุนจากแหล่ง entropy ของระบบปฏิบัติการ การสุ่มตัวเลขจะใช้ crypto.getRandomValues() ไม่ใช่ Math.random() ที่ไม่ปลอดภัย กุญแจที่สร้างขึ้นมีความปลอดภัยเทียบเท่ากับกุญแจที่ผลิตโดย ssh-keygen บน command line ไม่มีข้อมูลใดถูกส่งไปยังเซิร์ฟเวอร์ — คู่กุญแจจะมีอยู่เพียงในเซสชันของเบราว์เซอร์ของคุณเท่านั้น

อย่าลบหรือแทนที่ authorized_keys เดิมที่มีอยู่ — ให้เพิ่ม public key ใหม่เข้าไปเป็นรายการเพิ่มเติม จากนั้นให้เปิดเซสชัน SSH อื่น (โดยไม่ปิดเซสชันปัจจุบัน) เพื่อทดสอบกุญแจใหม่ หลังจากยืนยันแล้วว่ากุญแจใหม่ใช้งานได้ คุณจึงค่อยลบกุญแจเก่าหรือเปลี่ยนนโยบายรหัสผ่าน หากคุณถูกล็อคออกจากระบบ คุณจะต้องเข้าถึงคอนโซลของเซิร์ฟเวอร์ (ผู้ให้บริการคลาวด์มักเรียกว่า "emergency console" หรือ "rescue mode") เพื่อแก้ไข authorized_keys ด้วยตนเอง