EC-nyckelgenerator
Generera ett elliptiskt kurvnyckelpar på P-256, P-384 eller P-521 för ES256-, ES384- eller ES512-signaturer, ECDH och TLS-certifikat. Resultatet innehåller den privata nyckeln som okrypterad PKCS #8 PEM, den publika nyckeln som SPKI PEM, en OpenSSH-rad med ecdsa-sha2-publik nyckel och dess SHA-256-fingeravtryck samt RFC 7638 JWK-fingeravtryck. Varje par skapas på nytt med Nodes crypto-modul och lagras aldrig.
Vanliga frågor
Vilken kurva ska jag välja?
P-256 (även kallad prime256v1 eller secp256r1) är den kurva som stöds bredast och ger cirka 128 bitars säkerhet. P-384 ger cirka 192 bitar och krävs av vissa myndighetsprofiler, till exempel CNSA. P-521 är den största NIST-kurvan och stöds mer sällan, så välj den bara när ett system kräver det.
Vilken JWT-algoritm motsvarar varje kurva?
P-256-nycklar signerar med ES256, P-384-nycklar med ES384 och P-521-nycklar med ES512. JOSE kopplar varje algoritm till exakt en kurva, så JWT Generator avvisar en nyckel på fel kurva. Resultatet visar vilken algoritm som motsvarar din nyckel.
Vilka format returneras?
Den privata nyckeln är PEM-kodad PKCS #8 (BEGIN PRIVATE KEY) och den publika nyckeln är PEM-kodad SubjectPublicKeyInfo (BEGIN PUBLIC KEY) med den namngivna kurvan. Du får också raden ecdsa-sha2-nistp256, nistp384 eller nistp521 som OpenSSH förväntar sig i authorized_keys.
Hur får jag SEC1-formatet (BEGIN EC PRIVATE KEY)?
Vissa verktyg kräver fortfarande den äldre SEC1-kodningen. Med OpenSSL 3 kör du openssl pkey -in key.pem -traditional -out key-ec.pem eller openssl ec -in key.pem -out key-ec.pem. Själva nyckeln förblir densamma.
Kan jag skapa en certifikatsigneringsbegäran med den här nyckeln?
Ja. Spara den privata PEM-nyckeln och kör openssl req -new -key key.pem -subj "/CN=example.com" -out request.csr. Kontrollera sedan begäran med CSR Decoder. Certifikatutfärdare godtar P-256- och P-384-nycklar för TLS-certifikat.
Varför är EC-nycklar mindre än RSA-nycklar?
Kryptografi med elliptiska kurvor ger samma säkerhet med mycket kortare nycklar, så en P-256-nyckel motsvarar ungefär 3072 bitars RSA. Signaturerna är kortare och signeringen går snabbare. Den publika nyckeln ryms på 65 byte med P-256.
Skyddas den privata nyckeln av en lösenfras?
Nej, den returneras okrypterad så att andra verktyg kan läsa den direkt. Kryptera den för lagring med openssl pkey -in key.pem -aes256 -out key-encrypted.pem. Checka aldrig in en okrypterad privat nyckel i ett kodförråd.
Vad används JWK-fingeravtrycket till?
RFC 7638-fingeravtrycket är en base64url-SHA-256-hash av nyckelns medlemmar crv, kty, x och y. Det är en stabil identifierare för nyckeln som inte beror på PEM- eller JWK-formatering och fungerar bra som kid i JWT-headers och JWKS-dokument.
Lagreras nyckelparet?
Nej. Paret genereras i minnet för din begäran, returneras en gång och loggas eller sparas aldrig. Kopiera båda nycklarna innan du lämnar sidan, eftersom de inte kan visas igen.
Vad ändras av kommentarsfältet?
Det lägger bara till en etikett i slutet av OpenSSH-raden med den publika nyckeln, till exempel user@laptop, så att nyckeln är lätt att känna igen i authorized_keys. Fingeravtryck och nyckelmaterial förblir desamma. Kommentaren kan vara upp till 200 tecken lång.