SSH-sleutelgenerator

SSH-sleutels genereren zonder iets te installeren

Met SSH-sleutels log je in op servers en push je naar Git-hosts zoals GitHub of GitLab zonder een wachtwoord te typen. Deze generator maakt het sleutelpaar aan met de ingebouwde Web Crypto API van je browser en codeert het precies zoals ssh-keygen: de publieke sleutel is één regel zoals ssh-ed25519 AAAA… you@laptop, en de privésleutel is een -----BEGIN OPENSSH PRIVATE KEY------bestand dat OpenSSH, PuTTYgen en moderne Git-clients direct kunnen lezen. De getoonde SHA256-vingerafdruk wordt op dezelfde manier berekend als door ssh-keygen -lf, zodat je hem kunt vergelijken met wat een server of Git-host weergeeft. Geen enkel deel van de sleutel wordt over het netwerk verstuurd.

Ed25519 of RSA?

Ed25519 is voor bijna iedereen de beste keuze. De sleutels zijn piepklein, ondertekenen gaat snel en het vermijdt diverse valkuilen van oudere algoritmen. Het wordt ondersteund sinds OpenSSH 6.5 en wordt geaccepteerd door elke grote Git-host en cloudprovider. RSA is nog steeds nuttig voor oude apparatuur, verouderde servers of strikt bedrijfsbeleid; als je het nodig hebt, kies dan 3072 of 4096 bits in plaats van 2048. Ed25519 in Web Crypto vereist een recente browser; als het niet beschikbaar is, meldt de tool dat en schakelt hij automatisch over naar RSA.

Je sleutels beschermen en installeren

De privésleutel wordt zonder wachtzin gegenereerd, zodat elke SSH-client hem kan lezen. Sla hem op als ~/.ssh/id_ed25519 (of id_rsa), beperk de rechten met chmod 600 en voeg daarna lokaal een wachtzin toe met ssh-keygen -p -f ~/.ssh/id_ed25519. Mail de privésleutel nooit en plak hem nooit in een chat. Kopieer alleen de publieke sleutel naar het bestand ~/.ssh/authorized_keys van de server of naar de SSH-sleutelinstellingen van je account. Gebruik voor elk apparaat een aparte sleutel, zodat je de sleutel van een verloren laptop kunt intrekken zonder de andere te beïnvloeden.