EC-avainten generaattori
Luo elliptisen käyrän avainpari käyrällä P-256, P-384 tai P-521 ES256-, ES384- tai ES512-allekirjoituksia, ECDH:ta ja TLS-varmenteita varten. Tuloksessa yksityinen avain on salaamattomassa PKCS #8 PEM -muodossa, julkinen avain SPKI PEM -muodossa, OpenSSH:n ecdsa-sha2-julkisen avaimen rivi sen SHA-256-sormenjäljellä sekä RFC 7638 -määrityksen mukainen JWK-tiiviste. Jokainen pari luodaan uutena Node:n crypto-moduulilla, eikä sitä tallenneta.
Usein kysytyt kysymykset
Minkä käyrän valitsisin?
P-256 (tunnetaan myös nimillä prime256v1 ja secp256r1) on laajimmin tuettu käyrä, ja sen tietoturvataso on noin 128 bittiä. P-384 tarjoaa noin 192 bitin tietoturvan, ja sitä edellyttävät jotkin viranomaisprofiilit, kuten CNSA. P-521 on suurin NIST-käyrä, ja sitä tuetaan harvemmin, joten valitse se vain, jos järjestelmä pyytää sitä.
Mikä JWT-algoritmi vastaa kutakin käyrää?
P-256-avaimilla allekirjoitetaan ES256, P-384-avaimilla ES384 ja P-521-avaimilla ES512. JOSE määrittää kullekin algoritmille täsmälleen yhden käyrän, joten JWT-generaattori hylkää väärän käyrän avaimen. Tuloksessa näkyy avaintasi vastaava algoritmi.
Missä muodoissa avaimet palautetaan?
Yksityinen avain on PEM-koodattu PKCS #8 -muodossa (BEGIN PRIVATE KEY), ja julkinen avain PEM-koodatussa SubjectPublicKeyInfo-muodossa (BEGIN PUBLIC KEY) nimettyine käyrineen. Saat lisäksi ecdsa-sha2-nistp256-, nistp384- tai nistp521-rivin, jota OpenSSH edellyttää authorized_keys-tiedostossa.
Miten saan SEC1-muodon (BEGIN EC PRIVATE KEY)?
Jotkin työkalut tarvitsevat yhä vanhempaa SEC1-koodausta. Suorita OpenSSL 3:lla komento openssl pkey -in key.pem -traditional -out key-ec.pem tai openssl ec -in key.pem -out key-ec.pem. Itse avain pysyy samana.
Voinko luoda tällä avaimella varmenteen allekirjoituspyynnön?
Kyllä. Tallenna yksityinen avain PEM-muodossa ja suorita openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr. Tarkista sitten pyyntö CSR Decoderilla. Varmentajat hyväksyvät P-256- ja P-384-avaimet TLS-varmenteisiin.
Miksi EC-avaimet ovat pienempiä kuin RSA-avaimet?
Elliptisten käyrien kryptografia saavuttaa saman tietoturvan paljon lyhyemmillä avaimilla, joten P-256-avain vastaa suunnilleen 3072 bitin RSA-avainta. Allekirjoitukset ovat lyhyempiä ja allekirjoitus nopeampaa. P-256-käyrällä julkinen avain mahtuu 65 tavuun.
Suojaako tunnuslause yksityistä avainta?
Ei, avain palautetaan salaamattomana, jotta muut työkalut voivat lukea sen suoraan. Salaa se tallennusta varten komennolla openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Älä koskaan tallenna salaamatonta yksityistä avainta versionhallintavarastoon.
Mihin JWK-tiivistettä käytetään?
RFC 7638 -määrityksen mukainen tiiviste on avaimen crv-, kty-, x- ja y-jäsenten base64url-SHA-256-tiiviste. Se on vakaa avaimen tunniste, joka ei riipu PEM- tai JWK-muotoilusta, ja sopii hyvin kid-arvoksi JWT-otsakkeisiin ja JWKS-asiakirjoihin.
Tallennetaanko avainpari?
Ei. Pari luodaan muistissa pyyntöäsi varten, palautetaan kerran, eikä sitä koskaan kirjata lokiin tai tallenneta. Kopioi molemmat avaimet ennen sivulta poistumista, sillä niitä ei voi näyttää uudelleen.
Mitä kommenttikenttä muuttaa?
Se lisää vain tunnisteen OpenSSH-julkisen avaimen rivin loppuun, esimerkiksi user@laptop, jotta avain on helppo tunnistaa authorized_keys-tiedostossa. Sormenjäljet ja avainmateriaali pysyvät samoina. Kommentissa voi olla enintään 200 merkkiä.