Generator de chei RSA
Generați o pereche nouă de chei RSA cu un modul de 2048 sau 3072 de biți și exponentul public 65537. Primiți cheia privată în format PEM PKCS #8 necriptat, cheia publică în format PEM SPKI, linia OpenSSH ssh-rsa corespunzătoare cu amprenta SHA-256, algoritmii RS și PS cu care semnează și amprenta JWK RFC 7638, utilizată drept ID de cheie. Fiecare pereche este creată cu modulul crypto din Node pentru această solicitare și nu este niciodată stocată.
Întrebări frecvente
Ar trebui să aleg 2048 sau 3072 de biți?
RSA de 2048 de biți este în continuare minimul uzual și este acceptată peste tot, inclusiv în bibliotecile JWT care refuză cheile mai mici. 3072 de biți corespunde nivelului de securitate de 128 de biți pe care îl recomandă NIST SP 800-57 după 2030, cu prețul unor semnături mai mari și al unei semnări mai lente. Dimensiuni mai mari, precum 4096 de biți, nu sunt oferite, deoarece timpul de generare este imprevizibil pe un server partajat.
Ce formate folosește rezultatul?
Cheia privată este codificată PEM în format PKCS #8 (BEGIN PRIVATE KEY), iar cheia publică este codificată PEM în format SubjectPublicKeyInfo (BEGIN PUBLIC KEY). Ambele sunt acceptate de OpenSSL, Java, .NET, Go, Node, jose și majoritatea celorlalte biblioteci. Linia cheii publice OpenSSH este adăugată pentru fișierele authorized_keys.
Este cheia privată criptată?
Nu, cheia privată este returnată fără o frază de acces, astfel încât să o puteți introduce direct în alte instrumente. Pentru a o proteja când este stocată, rulați openssl pkey -in key.pem -aes256 -out key-encrypted.pem și păstrați doar fișierul criptat. Nu includeți copia necriptată în sistemul de control al versiunilor.
Cum obțin formatul PKCS #1 (BEGIN RSA PRIVATE KEY)?
Unele programe mai vechi se așteaptă la formatul tradițional PKCS #1. Cu OpenSSL 3, rulați openssl pkey -in key.pem -traditional -out key-rsa.pem pentru a converti fișierul PKCS #8. Materialul cheii rămâne același; se schimbă doar încadrarea.
Pot folosi cheia pentru SSH?
Da. Adăugați linia ssh-rsa în ~/.ssh/authorized_keys de pe server și salvați cheia PEM privată ca fișier de identitate cu permisiunile 600, deoarece OpenSSH citește cheile RSA codificate PEM. Multe servere preferă acum cheile Ed25519, pe care le creează Generatorul de chei Ed25519.
Ce este amprenta JWK?
Este hash-ul SHA-256 definit de RFC 7638 al membrilor JWK obligatorii ai cheii publice, codificat în base64url. Identifică cheia indiferent de formatul acesteia, ceea ce îl face o valoare kid potrivită pentru JWT-uri și documente JWKS. Convertorul JWK afișează aceeași valoare pentru această cheie.
Ce algoritmi JWT poate semna această cheie?
O cheie RSA poate semna cu RS256, RS384 și RS512 (PKCS #1 v1.5), precum și cu PS256, PS384 și PS512 (RSA-PSS). Folosiți cheia PEM privată cu Generatorul JWT și furnizați verificatorilor cheia PEM publică sau JWK-ul acesteia. Algoritmul este o proprietate a semnăturii, astfel că aceeași cheie poate fi folosită pentru mai mulți algoritmi.
Cheia generată este stocată undeva?
Nu. Perechea de chei este creată în memorie pentru solicitarea dvs., returnată o singură dată în rezultat și nu este niciodată înregistrată sau salvată. Dacă o pierdeți, generați o pereche nouă, deoarece nimeni nu o poate recupera pentru dvs.
Ce face opțiunea de comentariu?
Comentariul este adăugat la linia cheii publice OpenSSH, de obicei user@host sau o etichetă precum deploy-2026, astfel încât să puteți recunoaște cheia în authorized_keys. Nu modifică cheia sau amprentele acesteia. Comentariile sunt limitate la 200 caractere, iar spațiile multiple sunt reduse la un singur spațiu.
Cât de aleatorii sunt cheile?
Numerele prime provin din generatorul de numere aleatoare securizat criptografic al sistemului de operare, prin OpenSSL, aceeași sursă pe care o folosesc serverele pentru propriile chei. Fiecare solicitare produce o pereche de chei nouă și independentă. Exponentul public este întotdeauna 65537, valoarea standard.