Generator de chei EC
Generați o pereche de chei pentru curbe eliptice pe P-256, P-384 sau P-521 pentru semnături ES256, ES384 sau ES512, ECDH și certificate TLS. Rezultatul conține cheia privată ca PEM PKCS #8 necriptat, cheia publică drept PEM SPKI, o linie de cheie publică OpenSSH ecdsa-sha2 cu amprenta SHA-256 și amprenta JWK RFC 7638. Fiecare pereche este creată de la zero cu modulul crypto din Node și nu este niciodată stocată.
Întrebări frecvente
Ce curbă ar trebui să aleg?
P-256 (numită și prime256v1 sau secp256r1) este curba cu cea mai largă compatibilitate și oferă o securitate de aproximativ 128 de biți. P-384 oferă aproximativ 192 biți și este necesară pentru unele profiluri guvernamentale, precum CNSA. P-521 este cea mai mare curbă NIST și este acceptată mai rar, așa că alegeți-o doar când un sistem o solicită.
Ce algoritm JWT corespunde fiecărei curbe?
Cheile P-256 semnează cu ES256, cele P-384 cu ES384, iar cele P-521 cu ES512. JOSE asociază fiecare algoritm cu o singură curbă, astfel că generatorul JWT respinge o cheie de pe o curbă greșită. Rezultatul indică algoritmul corespunzător cheii.
Ce formate sunt returnate?
Cheia privată este codificată PEM PKCS #8 (BEGIN PRIVATE KEY), iar cheia publică este codificată PEM SubjectPublicKeyInfo (BEGIN PUBLIC KEY) cu curba denumită. Primiți și linia ecdsa-sha2-nistp256, nistp384 sau nistp521, așteptată de OpenSSH în authorized_keys.
Cum obțin formatul SEC1 (BEGIN EC PRIVATE KEY)?
Unele instrumente încă necesită codificarea SEC1 mai veche. Cu OpenSSL 3, rulați openssl pkey -in key.pem -traditional -out key-ec.pem sau openssl ec -in key.pem -out key-ec.pem. Cheia în sine rămâne aceeași.
Pot crea o solicitare de semnare a certificatului cu această cheie?
Da. Salvați cheia PEM privată și rulați openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr, apoi verificați solicitarea cu decodorul CSR. Autoritățile de certificare acceptă chei P-256 și P-384 pentru certificate TLS.
De ce sunt cheile EC mai mici decât cele RSA?
Criptografia cu curbe eliptice oferă același nivel de securitate cu chei mult mai scurte, astfel că o cheie P-256 este comparabilă cu o cheie RSA de 3072 de biți. Semnăturile sunt mai scurte, iar semnarea este mai rapidă. Cheia publică ocupă 65 de bytes pe P-256.
Cheia privată este protejată de o frază de acces?
Nu, este returnată necriptată, astfel încât alte instrumente să o poată citi direct. Criptați-o pentru stocare cu openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Nu includeți niciodată într-un depozit o cheie privată necriptată.
La ce folosește amprenta JWK?
Amprenta RFC 7638 este un hash SHA-256 base64url al membrilor crv, kty, x și y ai cheii. Este un identificator stabil al cheii, independent de formatul PEM sau JWK, și este potrivită ca kid în antetele JWT și în documentele JWKS.
Este stocată perechea de chei?
Nu. Perechea este generată în memorie pentru solicitarea dvs., returnată o singură dată și nu este niciodată înregistrată sau salvată. Copiați ambele chei înainte de a părăsi pagina, deoarece nu vor mai putea fi afișate.
Ce modifică câmpul pentru comentariu?
Adaugă doar o etichetă la sfârșitul liniei cheii publice OpenSSH, de exemplu user@laptop, pentru a recunoaște ușor cheia în authorized_keys. Amprentele și materialul cheii rămân neschimbate. Comentariul poate avea până la 200 caractere.