EC-nøglegenerator
Generér et elliptisk kurve-nøglepar på P-256, P-384 eller P-521 til ES256-, ES384- eller ES512-signaturer, ECDH og TLS-certifikater. Resultatet indeholder den private nøgle som ukrypteret PKCS #8 PEM, den offentlige nøgle som SPKI PEM, en OpenSSH ecdsa-sha2-linje med dens SHA-256-fingeraftryk og RFC 7638 JWK-tommelfingeraftrykket. Hvert nøglepar oprettes på ny med Nodes crypto-modul og gemmes aldrig.
Ofte stillede spørgsmål
Hvilken kurve skal jeg vælge?
P-256 (også kaldet prime256v1 eller secp256r1) er den mest udbredte kurve og giver cirka 128 bit sikkerhed. P-384 giver cirka 192 bit og kræves af nogle offentlige profiler som CNSA. P-521 er den største NIST-kurve og understøttes sjældnere, så vælg den kun, hvis et system beder om det.
Hvilken JWT-algoritme passer til hver kurve?
P-256-nøgler signerer med ES256, P-384-nøgler med ES384 og P-521-nøgler med ES512. JOSE knytter hver algoritme til præcis én kurve, så JWT Generator afviser en nøgle på den forkerte kurve. Resultatet angiver den algoritme, der passer til din nøgle.
Hvilke formater returneres?
Den private nøgle er PEM-kodet PKCS #8 (BEGIN PRIVATE KEY), og den offentlige nøgle er PEM-kodet SubjectPublicKeyInfo (BEGIN PUBLIC KEY) med den navngivne kurve. Du får også linjen ecdsa-sha2-nistp256, nistp384 eller nistp521, som OpenSSH forventer i authorized_keys.
Hvordan får jeg SEC1-formatet (BEGIN EC PRIVATE KEY)?
Nogle værktøjer kræver stadig den ældre SEC1-kodning. Kør med OpenSSL 3 openssl pkey -in key.pem -traditional -out key-ec.pem eller openssl ec -in key.pem -out key-ec.pem. Selve nøglen forbliver den samme.
Kan jeg oprette en certifikatanmodning med denne nøgle?
Ja. Gem den private PEM-fil, og kør openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr, og kontrollér derefter anmodningen med CSR Decoder. Certifikatmyndigheder accepterer P-256- og P-384-nøgler til TLS-certifikater.
Hvorfor er EC-nøgler mindre end RSA-nøgler?
Kryptografi med elliptiske kurver opnår samme sikkerhed med meget kortere nøgler, så en P-256-nøgle svarer til 3072 bit RSA. Signaturer er kortere, og signering går hurtigere. Den offentlige nøgle fylder 65 bytes på P-256.
Er den private nøgle beskyttet med en adgangsfrase?
Nej, den returneres ukrypteret, så andre værktøjer kan læse den direkte. Krypter den til opbevaring med openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Gem aldrig en ukrypteret privat nøgle i et repository.
Hvad bruges JWK-tommelfingeraftrykket til?
RFC 7638-tommelfingeraftrykket er en base64url-SHA-256-hash af nøglens crv-, kty-, x- og y-felter. Det er en stabil identifikator for nøglen, der ikke afhænger af PEM- eller JWK-formatering, og fungerer godt som kid i JWT-headere og JWKS-dokumenter.
Gemmes nøgleparret?
Nej. Parret genereres i hukommelsen til din forespørgsel, returneres én gang og logges eller gemmes aldrig. Kopiér begge nøgler, før du forlader siden, da de ikke kan vises igen.
Hvad ændrer kommentarfeltet?
Det føjer kun en etiket til slutningen af OpenSSH-linjen med den offentlige nøgle, f.eks. user@laptop, så nøglen er nem at genkende i authorized_keys. Fingeraftryk og nøglemateriale forbliver uændrede. Kommentaren kan være op til 200 tegn.