La cassaforte delle tue chiavi SSH

La cassaforte custodisce le tue chiavi SSH, quelle con cui raggiungi i tuoi server. Una chiave viene cifrata sul tuo dispositivo prima di lasciarlo, e solo i tuoi dispositivi aprono la cassaforte, come quando li sblocchi. tTerm conserva le chiavi cifrate, con la parte pubblica e l’impronta di ciascuna: non può aprire la cassaforte né leggere una chiave. La cassaforte si trova in Impostazioni → Chiavi.

Come un server si apre con la tua chiave

Un server si apre con la tua chiave quando lo sposti da tTerm per Mac con La mia chiave, oppure con Salva la mia chiave sulla barra dopo ssh: vedi Sposta nel cloud. Quando apri un terminale su quel server, tTerm chiede a un tuo dispositivo su cui la cassaforte è aperta, un browser o tTerm per Mac, di firmare l’accesso. Il dispositivo firma con quella chiave un accesso SSH e nient’altro, e la chiave non lo lascia mai. Prima di usare la firma, tTerm la verifica con la parte pubblica della chiave.

Creare la cassaforte

In un browser

In Impostazioni → Chiavi, premi Aggiungi una chiave da un file e scegli la tua chiave privata, il file senza .pub. Se la chiave ha una passphrase, digitala e premi Apri la chiave: la passphrase apre la chiave in questo browser e non viene inviata da nessuna parte. Dai un nome alla chiave e premi Avanti.

Nella finestra Salva la chiave nella tua cassaforte, premi Crea la cassaforte con Touch ID su un Mac, Crea la cassaforte con Windows Hello su Windows, oppure Crea la cassaforte con una passkey altrove. Un browser che non può salvare una passkey per la cassaforte mostra Crea la cassaforte: lì la cassaforte si apre con il codice di recupero o con l’approvazione del tuo Mac, una sessione alla volta.

In tTerm per Mac

La cassaforte viene creata la prima volta che salvi una chiave: con Sposta nel cloud, oppure con Salva la mia chiave sulla barra dopo ssh. Nella finestra Salva la chiave nella tua cassaforte, premi Crea la cassaforte con Touch ID e conferma con Touch ID o con la password del tuo Mac.

Il codice di recupero

Subito dopo, tTerm mostra il tuo codice di recupero: 24 lettere e cifre, in sei gruppi da quattro. Lo vedi una volta sola. Usa Copia o Salva come file, e conservalo in un posto sicuro, lontano dai dispositivi che aprono la tua cassaforte. Se un giorno li perdessi tutti, questo codice sarebbe l’unico modo per riavere le tue chiavi: tTerm non può recuperarle per te. Fine si attiva quando confermi con la spunta di averlo conservato.

Aprirla in un altro browser

Un browser che la tua cassaforte non conosce ancora la apre nella finestra Apri le tue chiavi in questo browser. La finestra compare quando premi Apri in Impostazioni → Chiavi, o quando apri un server che si apre con la tua chiave.

• Approvalo in tTerm per Mac. Se la tua cassaforte si apre in tTerm per Mac, la finestra propone quel Mac: premi Chiedigli di aprire qui la tua cassaforte. Sul Mac, una finestra dice quale browser lo chiede, quando ha effettuato l’accesso e da quale indirizzo. Entrambi gli schermi mostrano le stesse sei cifre: premi Consenti con Touch ID solo se coincidono. Non sono io fa terminare l’accesso di quel browser, e Impostazioni → Dispositivi mostra cos’altro controllare. Una richiesta dura cinque minuti.
• Usa il codice di recupero. Digitalo in Codice di recupero e premi Apri.

In un browser che può salvare una passkey, tTerm poi chiede se salvarne una, così la prossima volta la cassaforte si apre come quando sblocchi questo computer: Salva con Touch ID (o con Windows Hello, o con una passkey), oppure Solo questa volta su un computer che non è tuo.

Una cassaforte creata in un browser si apre in tTerm per Mac una prima volta con il codice di recupero: Apri con il codice di recupero in Impostazioni → Chiavi. Dopo, lì la aprono Touch ID o la password del tuo Mac.

Quando si blocca di nuovo

• In un browser – dopo 8 ore di inattività, quando chiudi o ricarichi tTerm Web, quando esci dall’account e quando premi Blocca in Impostazioni → Chiavi.
• In tTerm per Mac – resta aperta finché tTerm è in esecuzione, fino a quando premi Blocca o esci dall’account. Uscendo dall’account, il Mac perde anche la possibilità di aprirla da solo: dopo un nuovo accesso, apre la cassaforte una volta con il tuo codice di recupero.

Impostazioni → Chiavi

In cima, la pagina dice se la cassaforte è aperta qui, come è stata aperta e quando si bloccherà di nuovo. Ogni chiave ha una riga: il nome, il tipo e l’impronta abbreviata; i server che Apre, oppure Non apre ancora nessun server; quando è stata salvata da un Mac o aggiunta da un file; e quando è stata usata l’ultima volta, oppure non ancora usata.

• Rimuovi toglie la chiave dalla tua cassaforte, dopo una conferma, e tTerm elimina la sua copia cifrata. I server che si aprono con questa chiave restano in tTerm, ma non si aprono più. La chiave in sé resta dov’era: sul tuo Mac o nel suo file.
• Crea un nuovo codice di recupero mostra un nuovo codice una volta sola, e quello che avevi smette di funzionare. Le tue chiavi e i tuoi dispositivi restano come sono. Chiede Touch ID o la passkey di questo browser; un browser senza una passkey della tua cassaforte chiede il codice che hai ora. L’hai perso? Crea quello nuovo in tTerm per Mac.
• Aggiungi una chiave da un file c’è nel browser. In tTerm per Mac, le chiavi arrivano da Sposta nel cloud e dalla barra dopo ssh.

Sotto le chiavi, la pagina dice dove si apre la cassaforte: ogni Mac e ogni browser che può aprirla da solo, oppure Si apre solo con il tuo codice di recupero.

Le chiavi che conserva

Ed25519, ECDSA P-256 e P-384, e RSA. Non le chiavi DSA o ECDSA P-521, né le chiavi su una chiave di sicurezza (sk-…), che non possono uscirne: i loro server si aprono tramite il tuo Mac.

Un browser legge una chiave nel formato di OpenSSH, anche con passphrase, oppure in PEM senza passphrase (PKCS#8, PKCS#1), una chiave per file. Un file PEM con passphrase va prima convertito nel formato di OpenSSH con ssh-keygen -p -f seguito dal file. tTerm per Mac legge le chiavi nel formato di OpenSSH.

Alcuni browser non sanno firmare con chiavi Ed25519. In quei browser lo dice Impostazioni → Chiavi, e i server con una chiave del genere si aprono in un browser più recente o in tTerm per Mac.

Un server che aspetta la tua cassaforte

Finché nessuno dei tuoi dispositivi ha la cassaforte aperta, un terminale su un server con la tua chiave aspetta, per tutto il tempo necessario, e dice web-01 si apre con la tua chiave.

• In un browser che ha salvato una passkey, premi Apri con Touch ID, Apri con Windows Hello o Apri con una passkey.
• In un altro browser, premi Approva su seguito dal nome del tuo Mac, oppure Usa il codice di recupero.
• In tTerm per Mac, premi Apri con Touch ID; su un Mac che non può ancora aprire la tua cassaforte da solo, Usa il codice di recupero.

Appena la cassaforte è aperta, il terminale dice Accesso a web-01 con la tua chiave… e si apre da solo.