Generatore di chiavi RSA
Generate una nuova coppia di chiavi RSA con un modulo da 2048 o 3072 bit e l'esponente pubblico 65537. Otterrete la chiave privata come PEM PKCS #8 non crittografata, la chiave pubblica come PEM SPKI, la riga OpenSSH ssh-rsa corrispondente con la sua impronta SHA-256, gli algoritmi RS e PS con cui può firmare e l'impronta JWK RFC 7638 da usare come ID della chiave. Ogni coppia viene creata con il modulo crypto di Node per questa richiesta e non viene mai salvata.
Domande frequenti
È meglio scegliere 2048 o 3072 bit?
RSA a 2048 bit è ancora il minimo più comune ed è accettata ovunque, comprese le librerie JWT che rifiutano chiavi più piccole. 3072 bit corrispondono al livello di sicurezza di 128 bit raccomandato da NIST SP 800-57 oltre 2030, a scapito di firme più grandi e tempi di firma più lunghi. Non sono offerte dimensioni maggiori, come 4096 bit, perché i tempi di generazione su un server condiviso sono imprevedibili.
Quali formati usa il risultato?
La chiave privata è codificata in PEM PKCS #8 (BEGIN PRIVATE KEY) e la chiave pubblica in PEM SubjectPublicKeyInfo (BEGIN PUBLIC KEY). Entrambe sono leggibili da OpenSSL, Java, .NET, Go, Node, jose e dalla maggior parte delle altre librerie. La riga della chiave pubblica OpenSSH viene aggiunta per i file authorized_keys.
La chiave privata è crittografata?
No, la chiave privata viene restituita senza passphrase, così potete incollarla direttamente in altri strumenti. Per proteggerla quando è archiviata, eseguite openssl pkey -in key.pem -aes256 -out key-encrypted.pem e conservate solo il file crittografato. Non inserite la copia non crittografata nel controllo versione.
Come ottengo il formato PKCS #1 (BEGIN RSA PRIVATE KEY)?
Alcuni software meno recenti richiedono il formato PKCS #1 tradizionale. Con OpenSSL 3 eseguite openssl pkey -in key.pem -traditional -out key-rsa.pem per convertire il file PKCS #8. Il materiale della chiave resta invariato: cambia solo il formato che lo racchiude.
Posso usare la chiave per SSH?
Sì. Inserite la riga ssh-rsa in ~/.ssh/authorized_keys sul server e salvate la chiave privata PEM come file di identità con permessi 600, dato che OpenSSH legge le chiavi RSA codificate in PEM. Molti server ora preferiscono le chiavi Ed25519, che potete creare con il Generatore di chiavi Ed25519.
Cos'è l'impronta JWK?
È l'hash SHA-256 RFC 7638 dei membri JWK obbligatori della chiave pubblica, codificato in base64url. Identifica la chiave indipendentemente dal formato, quindi è un buon valore kid per token JWT e documenti JWKS. Il Convertitore JWK mostra lo stesso valore per questa chiave.
Quali algoritmi JWT può usare questa chiave per firmare?
Una chiave RSA può firmare con RS256, RS384 e RS512 (PKCS #1 v1.5) e PS256, PS384 e PS512 (RSA-PSS). Usate la chiave privata PEM con il Generatore JWT e fornite ai verificatori la chiave pubblica PEM o la relativa JWK. L'algoritmo è una proprietà della firma, quindi una sola chiave può essere usata per più algoritmi.
La chiave generata viene salvata da qualche parte?
No. La coppia di chiavi viene creata in memoria per la vostra richiesta, restituita una sola volta nel risultato e mai registrata né salvata. Se la perdete, generate una nuova coppia: nessuno può recuperarla per voi.
A cosa serve l'opzione del commento?
Il commento viene aggiunto alla riga della chiave pubblica OpenSSH, di solito user@host o un'etichetta come deploy-2026, così potete riconoscere la chiave in authorized_keys. Non modifica la chiave né le sue impronte. I commenti possono contenere al massimo 200 caratteri e gli spazi consecutivi vengono ridotti a uno solo.
Quanto sono casuali le chiavi?
I numeri primi provengono dal generatore casuale crittograficamente sicuro del sistema operativo tramite OpenSSL, la stessa fonte usata dai server per le proprie chiavi. Ogni richiesta genera una nuova coppia di chiavi indipendente. L'esponente pubblico è sempre 65537, il valore standard.