RSA-nyckelgenerator
Generera ett nytt RSA-nyckelpar med en modul på 2048 eller 3072 bitar och den offentliga exponenten 65537. Du får den privata nyckeln som okrypterad PKCS #8 PEM, den offentliga nyckeln som SPKI PEM, motsvarande OpenSSH ssh-rsa-rad med dess SHA-256-fingeravtryck, RS- och PS-algoritmerna den kan signera med samt RFC 7638 JWK-fingeravtrycket att använda som nyckel-ID. Varje par skapas med Nodes kryptografimodul för den här begäran och lagras aldrig.
Vanliga frågor
Ska jag välja 2048 eller 3072 bitar?
2048-bitars RSA är fortfarande det vanliga minimumet och godtas överallt, även av JWT-bibliotek som avvisar mindre nycklar. 3072 bitar motsvarar säkerhetsnivån 128 bitar som NIST SP 800-57 rekommenderar efter 2030, men signaturerna blir större och signeringen långsammare. Större storlekar som 4096 bitar erbjuds inte, eftersom genereringstiden är oförutsägbar på en delad server.
Vilka format använder resultatet?
Den privata nyckeln är PEM-kodad PKCS #8 (BEGIN PRIVATE KEY) och den offentliga nyckeln är PEM-kodad SubjectPublicKeyInfo (BEGIN PUBLIC KEY). Båda kan läsas av OpenSSL, Java, .NET, Go, Node, jose och de flesta andra bibliotek. OpenSSH-raden för den offentliga nyckeln läggs till för authorized_keys-filer.
Är den privata nyckeln krypterad?
Nej, den privata nyckeln returneras utan lösenfras så att den kan klistras in direkt i andra verktyg. För att skydda den när den lagras kör du openssl pkey -in key.pem -aes256 -out key-encrypted.pem och sparar bara den krypterade filen. Lägg inte den okrypterade kopian i versionshanteringen.
Hur får jag formatet PKCS #1 (BEGIN RSA PRIVATE KEY)?
Viss äldre programvara förväntar sig det traditionella PKCS #1-formatet. Med OpenSSL 3 kör du openssl pkey -in key.pem -traditional -out key-rsa.pem för att konvertera PKCS #8-filen. Nyckelmaterialet är detsamma; endast omslutningen ändras.
Kan jag använda nyckeln för SSH?
Ja. Lägg in ssh-rsa-raden i ~/.ssh/authorized_keys på servern och spara den privata PEM-nyckeln som identitetsfil med behörigheterna 600, eftersom OpenSSH läser PEM-kodade RSA-nycklar. Många servrar föredrar numera Ed25519-nycklar, som Ed25519 Key Generator skapar.
Vad är ett JWK-fingeravtryck?
Det är RFC 7638 SHA-256-hashen av de obligatoriska JWK-medlemmarna i den offentliga nyckeln, kodad i base64url. Den identifierar nyckeln oberoende av format, vilket gör den lämplig som kid-värde för JWT- och JWKS-dokument. JWK Converter visar samma värde för den här nyckeln.
Vilka JWT-algoritmer kan den här nyckeln signera med?
En RSA-nyckel kan signera med RS256, RS384 och RS512 (PKCS #1 v1.5) samt PS256, PS384 och PS512 (RSA-PSS). Använd den privata PEM-nyckeln med JWT Generator och ge verifierare den offentliga PEM-nyckeln eller dess JWK. Algoritmen är en egenskap hos signaturen, så samma nyckel kan användas för flera av dem.
Sparas den genererade nyckeln någonstans?
Nej. Nyckelparet skapas i minnet för din begäran, returneras en gång i resultatet och loggas eller sparas aldrig. Om du förlorar det får du generera ett nytt par, eftersom ingen kan återskapa det åt dig.
Vad gör kommentarsalternativet?
Kommentaren läggs till i OpenSSH-raden för den offentliga nyckeln, vanligtvis user@host eller en etikett som deploy-2026, så att du kan känna igen nyckeln i authorized_keys. Den ändrar inte nyckeln eller dess fingeravtryck. Kommentarer får vara högst 200 tecken och blanksteg slås ihop till enstaka mellanslag.
Hur slumpmässiga är nycklarna?
Primtalen kommer från operativsystemets kryptografiskt säkra slumptalsgenerator via OpenSSL, samma källa som servrar använder för sina egna nycklar. Varje begäran skapar ett nytt, oberoende nyckelpar. Den publika exponenten är alltid 65537, standardvärdet.