EC-võtmegeneraator
Looge elliptkõvera võtmepaar kõveraga P-256, P-384 või P-521 ES256, ES384 või ES512 allkirjade, ECDH ja TLS sertifikaatide jaoks. Tulemuses on privaatvõti krüptimata PKCS #8 PEM-vormingus, avalik võti SPKI PEM-vormingus, OpenSSH ecdsa-sha2 avaliku võtme rida koos selle SHA-256 sõrmejäljega ning RFC 7638 JWK-pöidlajäljend. Iga paar luuakse värskelt Node'i crypto-mooduliga ja seda ei salvestata kunagi.
Korduma kippuvad küsimused
Millise kõvera peaksin valima?
P-256 (tuntud ka kui prime256v1 või secp256r1) on kõige laialdasemalt toetatud kõver ja pakub umbes 128-bitist turvalisust. P-384 pakub umbes 192-bitist turvalisust ja on nõutud mõnes valitsuse profiilis, näiteks CNSA-s. P-521 on suurim NIST-i kõver ja seda toetatakse harvem, seega valige see ainult siis, kui süsteem seda nõuab.
Milline JWT algoritm sobib iga kõveraga?
P-256 võtmed allkirjastavad ES256-ga, P-384 võtmed ES384-ga ja P-521 võtmed ES512-ga. JOSE seob iga algoritmi täpselt ühe kõveraga, seega lükkab JWT generaator vale kõveraga võtme tagasi. Tulemuses on kirjas teie võtmele vastav algoritm.
Millised vormingud tagastatakse?
Privaatvõti on PEM-vormingus kodeeritud PKCS #8 (BEGIN PRIVATE KEY) ja avalik võti PEM-vormingus kodeeritud SubjectPublicKeyInfo (BEGIN PUBLIC KEY) koos nimetatud kõveraga. Lisaks saate rea ecdsa-sha2-nistp256, nistp384 või nistp521 kujul, mida OpenSSH ootab failis authorized_keys.
Kuidas saada SEC1-vormingut (BEGIN EC PRIVATE KEY)?
Mõned tööriistad nõuavad endiselt vanemat SEC1-kodeeringut. OpenSSL 3 puhul käivitage openssl pkey -in key.pem -traditional -out key-ec.pem või openssl ec -in key.pem -out key-ec.pem. Võti ise jääb samaks.
Kas saan selle võtmega luua sertifikaaditaotluse?
Jah. Salvestage privaatvõti PEM-vormingus ja käivitage openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr, seejärel kontrollige taotlust CSR-dekoodriga. Sertifitseerimiskeskused aktsepteerivad P-256 ja P-384 võtmeid TLS sertifikaatide jaoks.
Miks on EC-võtmed RSA-võtmetest väiksemad?
Elliptilise kõvera krüptograafia saavutab sama turvalisuse palju lühemate võtmetega, seega on P-256 võti võrreldav 3072-bitise RSA-võtmega. Allkirjad on lühemad ja allkirjastamine kiirem. P-256 avalik võti mahub 65 baidi sisse.
Kas privaatvõti on paroolifraasiga kaitstud?
Ei, see tagastatakse krüptimata, et teised tööriistad saaksid seda otse lugeda. Krüptige see salvestamiseks käsuga openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Ärge kunagi lisage krüptimata privaatvõtit hoidlasse.
Milleks kasutatakse JWK-pöidlajäljendit?
RFC 7638 pöidlajäljend on võtme crv-, kty-, x- ja y-liikmete base64url SHA-256 räsi. See on võtme püsiv tunnus, mis ei sõltu PEM- ega JWK-vormingust ning sobib hästi kid-väärtuseks JWT päistes ja JWKS-dokumentides.
Kas võtmepaar salvestatakse?
Ei. Paar genereeritakse teie päringu jaoks mälus, tagastatakse ühe korra ning seda ei logita ega salvestata kunagi. Enne lehelt lahkumist kopeerige mõlemad võtmed, sest neid ei saa enam uuesti kuvada.
Mida kommentaariväli muudab?
See lisab OpenSSH avaliku võtme rea lõppu üksnes sildi, näiteks user@laptop, et võtit oleks failis authorized_keys lihtne ära tunda. Sõrmejäljed ja võtmeandmed jäävad samaks. Kommentaar võib olla kuni 200 märgi pikkune.