Seu cofre de chaves SSH

O cofre guarda as suas próprias chaves SSH, para os servidores que você acessa com elas. Uma chave é criptografada no seu dispositivo antes de sair dele, e só os seus dispositivos abrem o cofre, do jeito que você os desbloqueia. O tTerm guarda as chaves criptografadas, com a metade pública e a impressão digital de cada uma: ele não consegue abrir o cofre nem ler uma chave. O cofre fica em Configurações → Chaves.

Como um servidor abre com a sua chave

Um servidor abre com a sua chave quando você o migra do tTerm para Mac com Minha chave, ou com Salvar minha chave na faixa depois do ssh: veja Migrar para a nuvem. Quando você abre um terminal nele, o tTerm pede a um dispositivo seu em que o cofre está aberto, um navegador ou o tTerm para Mac, que assine o login. O dispositivo assina com essa chave um login SSH e nada mais, e a chave nunca sai dele. O tTerm confere a assinatura com a metade pública da chave antes de usá-la.

Em Configurações → Chaves, clique em Adicionar uma chave de um arquivo e escolha a sua chave privada, o arquivo sem .pub. Se a chave tiver frase secreta, digite-a e clique em Abrir a chave: a frase secreta abre a chave neste navegador e não vai para lugar nenhum. Dê um nome à chave e clique em Continuar.

Em Salvar a chave no seu cofre, clique em Criar meu cofre com Touch ID num Mac, em Criar meu cofre com Windows Hello no Windows ou em Criar meu cofre com uma chave de acesso em outros sistemas. Um navegador que não consegue guardar o cofre com uma chave de acesso mostra Criar meu cofre: nele, o cofre abre com o código de recuperação ou com a aprovação do seu Mac, uma sessão por vez.

O cofre é criado na primeira vez que você salva uma chave: com Migrar para a nuvem ou com Salvar minha chave na faixa depois do ssh. Em Salvar a chave no seu cofre, clique em Criar meu cofre com Touch ID e confirme com o Touch ID ou a senha do seu Mac.

O código de recuperação

Logo depois, o tTerm mostra o seu código de recuperação: 24 letras e dígitos em seis grupos de quatro. Ele aparece só uma vez. Use Copiar ou Salvar como arquivo e guarde o código num lugar seguro, longe dos dispositivos que abrem o seu cofre. Se um dia você perder todos eles, este código é a única forma de voltar a ter acesso às suas chaves: o tTerm não tem como recuperá-las para você. Concluído funciona depois que você marca que guardou o código.

Abrir em outro navegador

Num navegador novo para o seu cofre, você o abre na janela Abrir suas chaves neste navegador. Essa janela aparece quando você clica em Abrir em Configurações → Chaves ou abre um servidor que abre com a sua chave.

Aprovar no tTerm para Mac. Se houver um Mac em que o tTerm para Mac abre o seu cofre, a janela oferece esse Mac: clique em Pedir para abrir o seu cofre aqui. No Mac, uma janela diz qual navegador está pedindo, quando ele entrou na conta e de qual endereço. As duas telas mostram os mesmos seis dígitos: clique em Autorizar com Touch ID só se eles forem iguais. Não sou eu encerra o login desse navegador, e Configurações → Dispositivos mostra o que mais conferir. Um pedido vale por cinco minutos.
Usar o código de recuperação. Digite o código em Código de recuperação e clique em Abrir.

Num navegador que consegue guardar uma chave de acesso, o tTerm pergunta em seguida se deve guardar uma, para que da próxima vez o cofre abra do jeito que você desbloqueia este computador: Guardar com Touch ID (ou com Windows Hello, ou com uma chave de acesso), ou Só desta vez num computador que não é seu.

Um cofre criado num navegador abre no tTerm para Mac uma vez com o código de recuperação: Abrir com o código de recuperação em Configurações → Chaves. Depois disso, o Touch ID ou a senha do seu Mac o abrem lá.

Quando o cofre é bloqueado de novo

No navegador – depois de 8 horas sem nenhuma atividade, quando você fecha ou recarrega o tTerm Web, quando sai da conta e quando clica em Bloquear em Configurações → Chaves.
No tTerm para Mac – ele fica aberto enquanto o tTerm estiver rodando, até você clicar em Bloquear ou sair da conta. Ao sair da conta, o Mac também deixa de conseguir abrir o cofre sozinho: depois que você entrar de novo, ele abre o cofre uma vez com o seu código de recuperação.

Configurações → Chaves

No alto, a página diz se o cofre está aberto aqui, como ele foi aberto e quando vai ser bloqueado de novo. Cada chave tem uma linha: o nome, o tipo e a impressão digital curta; os servidores que ela Abre, ou Nenhum servidor abre com ela ainda; quando ela foi salva a partir de um Mac ou adicionada a partir de um arquivo; e quando foi usada pela última vez, ou ainda não usada.

Remover tira a chave do seu cofre, depois de uma pergunta, e o tTerm exclui a cópia criptografada dela. Os servidores que abrem com ela continuam no tTerm, mas não abrem mais. A própria chave continua onde estava: no seu Mac ou no arquivo dela.
Gerar um novo código de recuperação mostra um código novo uma vez, e o que você tinha para de funcionar. Suas chaves e seus dispositivos continuam como estão. Ele pede o Touch ID ou a chave de acesso deste navegador; um navegador sem chave de acesso do seu cofre pede o código que você tem agora. Perdeu o código? Gere o novo no tTerm para Mac.
Adicionar uma chave de um arquivo fica disponível no navegador. No tTerm para Mac, as chaves vêm de Migrar para a nuvem e da faixa depois do ssh.

Abaixo das chaves, a página diz onde o cofre abre: cada Mac e cada navegador que consegue abri-lo sozinho, ou Abre só com o seu código de recuperação.

As chaves que o cofre guarda

Ed25519, ECDSA P-256 e P-384, e RSA. Ele não guarda chaves DSA nem ECDSA P-521, nem chaves numa chave de segurança (sk-…), que não podem sair dela: os servidores dessas chaves abrem pelo seu Mac.

Um navegador lê uma chave no formato do próprio OpenSSH, inclusive com frase secreta, ou em PEM sem frase secreta (PKCS#8, PKCS#1), uma chave por arquivo. Um arquivo PEM com frase secreta precisa antes ser convertido para o formato do OpenSSH com ssh-keygen -p -f seguido do arquivo. O tTerm para Mac lê chaves no formato do OpenSSH.

Alguns navegadores não conseguem assinar com chaves Ed25519. Nesses navegadores, Configurações → Chaves avisa isso, e os servidores com uma chave assim abrem num navegador mais novo ou no tTerm para Mac.

Um servidor que espera pelo seu cofre

Enquanto nenhum dos seus dispositivos estiver com o cofre aberto, um terminal num servidor com a sua chave espera o tempo que for preciso e mostra web-01 abre com a sua chave.

Num navegador que guarda uma chave de acesso, clique em Abrir com Touch ID, Abrir com Windows Hello ou Abrir com uma chave de acesso.
Em outro navegador, clique em Aprovar em seguido do nome do seu Mac, ou em Usar o código de recuperação.
No tTerm para Mac, clique em Abrir com Touch ID; num Mac que ainda não consegue abrir o seu cofre sozinho, em Usar o código de recuperação.

Assim que o cofre abre, o terminal mostra Entrando em web-01 com a sua chave… e abre sozinho.