Una conexión ejecuta la capa de transporte (intercambio de claves, firma con la clave de host del servidor, cifrado), después la autenticación del usuario y, por último, canales multiplexados. Los nombres de intercambio de claves describen el híbrido que se usa, como mlkem768x25519-sha256 (el predeterminado de OpenSSH desde la 10.0), sntrup761x25519-sha512 o curve25519-sha256; los algoritmos de cifrado son AEAD como chacha20-poly1305@openssh.com y aes256-gcm@openssh.com.
Tipos de clave: ssh-ed25519, ecdsa-sha2-nistp256, rsa-sha2-256 y rsa-sha2-512 (claves RSA que firman con SHA-2; la firma ssh-rsa con SHA-1 está desactivada de forma predeterminada desde OpenSSH 8.8), sk-ssh-ed25519@openssh.com y sk-ecdsa-sha2-nistp256@openssh.com respaldadas por FIDO, y los certificados. DSA se eliminó en OpenSSH 10.0. OpenSSH 10.4 (julio de 2026) añadió una firma compuesta experimental de ML-DSA-44 más Ed25519, desactivada de forma predeterminada.
La confianza se basa de forma predeterminada en el primer uso: el cliente registra la clave de host en known_hosts en la primera conexión y avisa de forma muy visible si cambia. Los certificados SSH o los registros DNS SSHFP sustituyen ese acto de fe en flotas más grandes. La auditoría de servidores SSH comprueba qué algoritmos ofrece un servidor.