Γεννήτρια κλειδιών EC
Δημιουργήστε ένα ζεύγος κλειδιών ελλειπτικής καμπύλης στις P-256, P-384 ή P-521 για υπογραφές ES256, ES384 ή ES512, ECDH και πιστοποιητικά TLS. Το αποτέλεσμα περιέχει το ιδιωτικό κλειδί ως μη κρυπτογραφημένο PKCS #8 PEM, το δημόσιο κλειδί ως SPKI PEM, μια γραμμή δημόσιου κλειδιού OpenSSH ecdsa-sha2 με το αποτύπωμα SHA-256 και το αποτύπωμα JWK RFC 7638. Κάθε ζεύγος δημιουργείται εκ νέου με τη μονάδα crypto του Node και δεν αποθηκεύεται ποτέ.
Συχνές ερωτήσεις
Ποια καμπύλη να επιλέξω;
Η P-256 (γνωστή και ως prime256v1 ή secp256r1) είναι η καμπύλη με την ευρύτερη υποστήριξη και προσφέρει ασφάλεια περίπου 128 bit. Η P-384 προσφέρει περίπου 192 bit και απαιτείται από ορισμένα κυβερνητικά προφίλ, όπως το CNSA. Η P-521 είναι η μεγαλύτερη καμπύλη NIST και υποστηρίζεται λιγότερο συχνά, επομένως επιλέξτε την μόνο όταν το ζητά ένα σύστημα.
Ποιος αλγόριθμος JWT αντιστοιχεί σε κάθε καμπύλη;
Τα κλειδιά P-256 υπογράφουν με ES256, τα κλειδιά P-384 με ES384 και τα κλειδιά P-521 με ES512. Το JOSE αντιστοιχίζει κάθε αλγόριθμο σε ακριβώς μία καμπύλη, επομένως η Γεννήτρια JWT απορρίπτει ένα κλειδί σε λάθος καμπύλη. Το αποτέλεσμα αναφέρει τον αλγόριθμο που αντιστοιχεί στο κλειδί σας.
Ποιες μορφές επιστρέφονται;
Το ιδιωτικό κλειδί είναι κωδικοποιημένο σε PEM PKCS #8 (BEGIN PRIVATE KEY) και το δημόσιο σε PEM SubjectPublicKeyInfo (BEGIN PUBLIC KEY), με την ονομασμένη καμπύλη. Λαμβάνετε επίσης τη γραμμή ecdsa-sha2-nistp256, nistp384 ή nistp521 που αναμένει το OpenSSH στο authorized_keys.
Πώς μπορώ να λάβω τη μορφή SEC1 (BEGIN EC PRIVATE KEY);
Ορισμένα εργαλεία εξακολουθούν να απαιτούν την παλαιότερη κωδικοποίηση SEC1. Με το OpenSSL 3 εκτελέστε openssl pkey -in key.pem -traditional -out key-ec.pem ή openssl ec -in key.pem -out key-ec.pem. Το ίδιο το κλειδί παραμένει το ίδιο.
Μπορώ να δημιουργήσω αίτημα υπογραφής πιστοποιητικού με αυτό το κλειδί;
Ναι. Αποθηκεύστε το ιδιωτικό PEM και εκτελέστε openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr και, στη συνέχεια, ελέγξτε το αίτημα με τον Αποκωδικοποιητή CSR. Οι αρχές πιστοποίησης δέχονται κλειδιά P-256 και P-384 για πιστοποιητικά TLS.
Γιατί τα κλειδιά EC είναι μικρότερα από τα κλειδιά RSA;
Η κρυπτογραφία ελλειπτικών καμπυλών επιτυγχάνει το ίδιο επίπεδο ασφάλειας με πολύ μικρότερα κλειδιά, επομένως ένα κλειδί P-256 είναι αντίστοιχο με RSA 3072 bit. Οι υπογραφές είναι μικρότερες και η υπογραφή γίνεται ταχύτερα. Το δημόσιο κλειδί καταλαμβάνει 65 bytes στην P-256.
Προστατεύεται το ιδιωτικό κλειδί με συνθηματική φράση;
Όχι, επιστρέφεται μη κρυπτογραφημένο ώστε να μπορούν να το διαβάσουν απευθείας άλλα εργαλεία. Κρυπτογραφήστε το για αποθήκευση με openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Μην καταχωρείτε ποτέ μη κρυπτογραφημένο ιδιωτικό κλειδί σε αποθετήριο.
Σε τι χρησιμεύει το αποτύπωμα JWK;
Το αποτύπωμα RFC 7638 είναι ένας κατακερματισμός SHA-256 base64url των μελών crv, kty, x και y του κλειδιού. Είναι ένα σταθερό αναγνωριστικό του κλειδιού που δεν εξαρτάται από τη μορφοποίηση PEM ή JWK και λειτουργεί καλά ως kid στις κεφαλίδες JWT και στα έγγραφα JWKS.
Αποθηκεύεται το ζεύγος κλειδιών;
Όχι. Το ζεύγος δημιουργείται στη μνήμη για το αίτημά σας, επιστρέφεται μία φορά και δεν καταγράφεται ούτε αποθηκεύεται ποτέ. Αντιγράψτε και τα δύο κλειδιά πριν φύγετε από τη σελίδα, καθώς δεν μπορούν να εμφανιστούν ξανά.
Τι αλλάζει το πεδίο σχολίου;
Προσθέτει μόνο μια ετικέτα στο τέλος της γραμμής δημόσιου κλειδιού OpenSSH, όπως user@laptop, ώστε να αναγνωρίζετε εύκολα το κλειδί στο authorized_keys. Τα αποτυπώματα και τα δεδομένα του κλειδιού παραμένουν ίδια. Το σχόλιο μπορεί να έχει έως 200 χαρακτήρες.