Private Key (privater Schlüssel):

• Geheim – darf niemals weitergegeben werden
• Wird zum Entschlüsseln und Signieren verwendet
• Muss sicher aufbewahrt werden (am besten mit Passphrase)

Public Key (öffentlicher Schlüssel):

• Kann bedenkenlos geteilt werden
• Wird zum Verschlüsseln und Verifizieren verwendet
• Wird auf dem Server (z.B. in ~/.ssh/authorized_keys) hinterlegt

Empfehlung:

• Ed25519: Beste Wahl für moderne Systeme – schnell, sicher, kleine Schlüssel.
• RSA 4096: Wenn du maximale Kompatibilität benötigst (ältere Systeme).
• ECDSA 521: Gute Alternative zu RSA, aber weniger verbreitet.

Faustregel: Verwende Ed25519, es sei denn, du hast spezifische Kompatibilitätsanforderungen.

Den Public Key musst du auf dem Server hinterlegen, zu dem du SSH-Verbindung aufbauen möchtest:

1. Kopiere den Public Key aus dem Generator
2. Füge ihn in die Datei ~/.ssh/authorized_keys auf dem Server ein
3. Stelle sicher, dass die Datei die richtigen Berechtigungen hat (chmod 600 ~/.ssh/authorized_keys)

Beispiel: ssh-copy-id user@server ist der einfachste Weg, den Public Key zu übertragen.

Eine Passphrase ist ein zusätzliches Passwort, das den privaten Schlüssel verschlüsselt.

Vorteile:

• Selbst wenn der private Schlüssel gestohlen wird, kann er ohne Passphrase nicht verwendet werden.
• Zusätzliche Sicherheitsebene.

Nachteile:

• Du musst die Passphrase bei jeder Verwendung eingeben.
• Mit ssh-agent kannst du die Passphrase einmal eingeben und zwischenspeichern.

Empfehlung: Verwende immer eine Passphrase für zusätzliche Sicherheit.

SSH-Keys gelten als sehr sicher, wenn sie korrekt verwendet werden:

• RSA 4096: Brute-Force würde länger dauern als das Alter des Universums.
• Ed25519: Bietet 128 Bits Sicherheit – ebenfalls praktisch unknackbar.
• ECDSA 521: Vergleichbare Sicherheit.

Wichtig: Die Sicherheit hängt auch von der sicheren Aufbewahrung des privaten Schlüssels ab. Mit Passphrase ist er zusätzlich geschützt.

Der Fingerprint ist eine kurze, eindeutige Kennung des öffentlichen Schlüssels (meist als MD5- oder SHA256-Hash).

Verwendung:

• Um den öffentlichen Schlüssel zu identifizieren und zu verifizieren
• Beim ersten Verbindungsaufbau zeigt SSH den Fingerprint des Servers an – du kannst ihn mit dem bekannten Fingerprint abgleichen
• Ermöglicht es dir, den richtigen Schlüssel zu überprüfen, ohne den gesamten Public Key anzeigen zu müssen

Beispiel: ssh-keygen -l -f ~/.ssh/id_rsa.pub zeigt den Fingerprint an.

Ja, aber mit Vorsicht!

• Du kannst den privaten Schlüssel auf mehrere Geräte kopieren.
• Aber: Jede Kopie ist ein zusätzliches Sicherheitsrisiko.
• Besser: Für jedes Gerät einen eigenen Schlüssel erstellen.
• Wenn ein Gerät verloren geht, kannst du den entsprechenden Public Key einfach aus der authorized_keys entfernen.

Empfehlung: Erstelle für jedes Gerät einen eigenen SSH-Key.

Wenn du den privaten Schlüssel verloren hast, musst du:

1. Neuen SSH-Key generieren (mit diesem Tool)
2. Den neuen Public Key auf allen Servern hinterlegen, wo der alte Key registriert war
3. Den alten Public Key entfernen (aus ~/.ssh/authorized_keys)
4. Verwende 2FA oder andere Authentifizierungsmethoden als Backup

Tipp: Lege immer einen Backup-Key an (z.B. für Notfälle).

Ed25519 hat mehrere Vorteile gegenüber RSA:

• Kleinere Schlüssel: Ed25519 Schlüssel sind deutlich kleiner als RSA (256 vs 4096 Bit).
• Schneller: Ed25519 ist in der Regel schneller in der Generierung und Verwendung.
• Sicherer: Ed25519 ist resistent gegen Seitenkanalangriffe.
• Zukunftssicher: Ed25519 ist der modernere Standard.
• Keine feste Länge: Ed25519 hat immer 256 Bit Sicherheit.

Nachteil: Nicht alle älteren Systeme unterstützen Ed25519. In diesem Fall ist RSA die bessere Wahl.

Mit dem Befehl ssh-keygen kannst du den Fingerprint eines bestehenden SSH-Keys überprüfen:

Optionen:

• -l = Fingerprint anzeigen
• -f = Datei angeben
• -E sha256 = SHA256 statt MD5 verwenden