Çevrim dışı ed25519 kimlik anahtarları, aktarıcınızın uzun vadeli kimlik anahtarını çevrim dışı olarak tutarak ve bunun yerine orta vadeli bir imzalama anahtarı kullanarak korumanızı sağlar. Basit olarak çalışması şöyle anlatılabilir:

• "ed25519_master_id_secret_key" olarak adlandırılmış bir kişisel birincil ed25519 kimlik doğrulama anahtarı vardır. Bu en önemlisidir. O yüzden güvenli bir yere yedeğini aldığınızdan emin olun. Bu dosyanın başkalarının eline geçmemesi önemlidir ve korunması gerekir. Anahtarı el ile oluşturup, sorulduğunda bir parola yazarsanız Tor bu dosyayı sizin için şifreleyebilir.
• Tor tarafından kullanılması için "ed25519_signing_secret_key" orta vadeli imzalama anahtarı oluşturulur. Ayrıca kişisel birincil kimlik doğrulama anahtarı tarafından imzalanmış "ed25519_signing_cert" adında bir sertifika oluşturulur ve orta vadeli imzalama anahtarının belirli bir süre için geçerli olması sağlanır. Varsayılan geçerlilik süresi 30 gündür. Bu süre torrc dosyasındaki "SigningKeyLifetime N days|weeks|months" ayarı kullanılarak değiştirilebilir.
• Ayrıca aktarıcının ağa yayınlanan gerçek kimliği olan "ed25519_master_id_public_key" adında bir herkese açık birincil kimlik doğrulama anahtarı vardır. Bu anahtarın başkalarının eline geçmesi önemli değildir ve "ed5519_master_id_secret_key" anahtarından kolayca hesaplanabilir.

Geçerli oldukları sürece, Tor tarafından yalnızca orta vadeli imzalama anahtarına ve sertifikaya erişilmesi gereklidir. Bu nedenle kişisel birincil kimlik doğrulama anahtarı DataDirectory/keys klasörü dışına alınarak başka bir bilgisayarın depolama alanında ya da bilgisayarda tutulabilir. Orta vadeli imzalama anahtarını ve sertifikayı süresi dolmadan önce el ile yenilemeniz gerekir. Yoksa süre dolduktan sonra aktarıcı üzerindeki Tor işleminden çıkılır.

Bu özellik isteğe bağlıdır. Kullanmak istemiyorsanız kullanmayabilirsiniz. Orta vadeli imzalama anahtarı yenileme işlemini düzenli olarak el ile yapmak yerine aktarıcınızın dokunulmadan daha uzun süre çalışmasını istiyorsanız, kişisel birincil kimlik doğrulama anahtarını DataDirectory/keys klasöründe bırakabilirsiniz. Yalnızca yeniden kurabilmek için anahtarın bir yedeğini almayı unutmayın. Bu özelliği kullanmak isterseniz, bu konudaki ayrıntılı rehber bölümüne bakabilirsiniz.