Хранилище ключей

В хранилище лежат твои собственные SSH-ключи для серверов, на которые ты с ними ходишь. Ключ шифруется на твоём устройстве ещё до того, как его покинет, и открыть хранилище могут только твои устройства – тем же способом, каким разблокируются сами. У tTerm есть только зашифрованные ключи, а ещё открытая часть и отпечаток каждого из них: открыть хранилище и прочитать ключ tTerm не может. Хранилище находится в «Настройки» → «Ключи».

Как сервер открывается твоим ключом

Сервер открывается твоим ключом, если ты перенёс его из tTerm для Mac способом «Мой ключ» или кнопкой «Сохранить мой ключ» на плашке после ssh: подробно в разделе Перенести в облако. Когда ты открываешь на нём терминал, tTerm просит твоё устройство, на котором хранилище открыто, подписать вход: это браузер или tTerm для Mac. Устройство подписывает этим ключом вход по SSH и больше ничего, а сам ключ его не покидает. Прежде чем использовать подпись, tTerm сверяет её с открытой частью ключа.

В «Настройки» → «Ключи» нажми «Добавить ключ из файла» и выбери свой закрытый ключ – файл без .pub. Если у ключа есть парольная фраза, введи её и нажми «Открыть ключ»: фраза откроет ключ в этом браузере и никуда не уйдёт. Дай ключу имя и нажми «Далее».

В окне «Сохранить ключ в хранилище» нажми «Создать хранилище с Touch ID» на Mac, «Создать хранилище с Windows Hello» на Windows или «Создать хранилище с ключом доступа» на других устройствах. Если браузер не умеет открывать хранилище ключом доступа, кнопка называется «Создать хранилище»: тогда в нём хранилище открывается кодом восстановления или по подтверждению на Mac, каждый раз на один сеанс.

Хранилище появляется, когда ты впервые сохраняешь ключ: через «Перенести в облако» или кнопкой «Сохранить мой ключ» на плашке после ssh. В окне «Сохранить ключ в хранилище» нажми «Создать хранилище с Touch ID» и подтверди Touch ID или паролем Mac.

Код восстановления

Сразу после этого tTerm покажет код восстановления: 24 буквы и цифры, шесть групп по четыре. Он показывается один раз. Нажми «Копировать» или «Сохранить в файл» и держи код в надёжном месте, отдельно от устройств, которые открывают хранилище. Если когда-нибудь потеряешь их все, вернуть ключи можно будет только этим кодом: tTerm не сможет восстановить их за тебя. Кнопка «Готово» сработает, когда ты отметишь, что сохранил код.

Открыть в другом браузере

Браузер, в котором хранилище ещё не открывали, открывает его в окне «Открыть ключи в этом браузере». Окно появляется, если нажать «Открыть» в «Настройки» → «Ключи» или открыть сервер, который открывается твоим ключом.

Подтвердить в tTerm для Mac. Если хранилище открывается в tTerm для Mac, окно предложит этот Mac: нажми «Попросить открыть хранилище здесь». На Mac появится окно: какой браузер просит, когда и с какого адреса он вошёл. Оба экрана покажут одни и те же шесть цифр: нажимай «Разрешить с Touch ID», только если они совпадают. «Это не я» завершит сеанс того браузера, а в «Настройки» → «Устройства» будет видно, что ещё проверить. Запрос действует пять минут.
Ввести код восстановления. Введи его в поле «Код восстановления» и нажми «Открыть».

Если браузер умеет хранить ключ доступа, tTerm затем спросит, сохранить ли его здесь, чтобы в следующий раз хранилище открывалось так же, как разблокируется этот компьютер: «Сохранить с Touch ID» (или с Windows Hello, или ключ доступа) или, на чужом компьютере, «Только в этот раз».

Хранилище, созданное в браузере, в tTerm для Mac один раз открывается кодом восстановления: «Открыть кодом восстановления» в «Настройки» → «Ключи». Дальше его там открывают Touch ID или пароль Mac.

Когда хранилище снова блокируется

В браузере – если 8 часов ничего не делать, если закрыть или перезагрузить tTerm Web, выйти из аккаунта или нажать «Заблокировать» в «Настройки» → «Ключи».
В tTerm для Mac – хранилище остаётся открытым, пока работает tTerm: до нажатия «Заблокировать» или выхода из аккаунта. При выходе Mac ещё и забывает свой замок: после нового входа он один раз откроет хранилище кодом восстановления.

Раздел «Ключи»

Наверху раздел показывает, открыто ли хранилище здесь, как его открыли и когда оно снова заблокируется. У каждого ключа своя строка: имя, тип и короткий отпечаток; какие серверы он «Открывает», или «Пока не открывает ни одного сервера»; когда он сохранён с Mac или добавлен из файла; и когда он последний раз использовался, или «ещё не использовался».

«Удалить» после вопроса убирает ключ из хранилища, а tTerm удаляет его зашифрованную копию. Серверы, которые открывались этим ключом, остаются в tTerm, но больше не открываются. Сам ключ остаётся там, откуда он взят: на твоём Mac или в своём файле.
«Создать новый код восстановления» покажет новый код один раз, а прежний перестанет действовать. Ключи и устройства останутся как есть. Для этого нужны Touch ID или ключ доступа этого браузера; браузер без ключа доступа к хранилищу попросит текущий код. Текущего кода нет? Создай новый в tTerm для Mac.
«Добавить ключ из файла» есть в браузере. В tTerm для Mac ключи попадают в хранилище через «Перенести в облако» и плашку после ssh.

Под ключами раздел показывает, где хранилище открывается: каждый Mac и каждый браузер, у которых есть его замок, или «Хранилище открывается только кодом восстановления.»

Какие ключи принимает хранилище

Ed25519, ECDSA P-256 и P-384, а также RSA. Не принимает ключи DSA и ECDSA P-521, а также ключи на аппаратном ключе (sk-…), которые не могут его покинуть: серверы с ними открываются через твой Mac.

Браузер читает ключ в собственном формате OpenSSH, в том числе с парольной фразой, или в PEM без неё (PKCS#8, PKCS#1), по одному ключу в файле. Файл PEM с парольной фразой сначала переводят в формат OpenSSH командой ssh-keygen -p -f с именем файла. tTerm для Mac читает ключи в формате OpenSSH.

Некоторые браузеры не умеют подписывать ключами Ed25519. В таком браузере об этом скажет раздел «Ключи», а серверы с таким ключом откроются в более новом браузере или в tTerm для Mac.

Сервер ждёт хранилище

Пока хранилище не открыто ни на одном твоём устройстве, терминал сервера с твоим ключом ждёт, сколько понадобится, и пишет «web-01 открывается твоим ключом».

В браузере с ключом доступа нажми «Открыть с Touch ID», «Открыть с Windows Hello» или «Открыть ключом доступа».
В другом браузере нажми «Подтвердить на» с именем твоего Mac или «Ввести код восстановления».
В tTerm для Mac нажми «Открыть с Touch ID»; если у этого Mac ещё нет замка хранилища – «Ввести код восстановления».

Когда хранилище откроется, терминал напишет «Входим на web-01 с твоим ключом…» и откроется сам.