你的 SSH 密钥保险库

保险库存放你自己的 SSH 密钥，供你用这些密钥连接的服务器使用。密钥在离开你的设备之前就已在设备上加密，只有你的设备能用各自的解锁方式打开保险库。tTerm 保存的是加密后的密钥，以及每个密钥的公钥和指纹：它无法打开保险库，也无法读取任何密钥。保险库位于设置 → 密钥。

服务器如何用你的密钥打开

如果你从 tTerm Mac 版以我的密钥方式迁移了一台服务器，或在 ssh 之后的提示条上点击了保存我的密钥，这台服务器就会用你的密钥打开：参见迁移到云端。当你在这台服务器上打开终端时，tTerm 会请你的一台已打开保险库的设备（浏览器或 tTerm Mac 版）为这次登录签名。设备只用这个密钥为 SSH 登录签名，不签任何别的东西，密钥也从不离开这台设备。tTerm 在使用签名之前，会先用密钥的公钥核验它。

在设置 → 密钥中，点击从文件添加密钥，选择你的私钥，也就是不带 .pub 的那个文件。如果密钥设有密码短语，输入它并点击打开密钥：密码短语只在这个浏览器中用来打开密钥，不会发往任何地方。给密钥起个名字，然后点击下一步。

在把你的密钥保存到保险库窗口中，在 Mac 上点击用触控 ID 创建我的保险库，在 Windows 上点击用 Windows Hello 创建我的保险库，在其他设备上点击用通行密钥创建我的保险库。如果浏览器无法用通行密钥保存保险库，会显示创建我的保险库：在这样的浏览器中，保险库要用恢复代码或经你的 Mac 批准才能打开，每次只在一个会话中有效。

第一次保存密钥时会创建保险库：通过“迁移到云端”，或在 ssh 之后的提示条上点击保存我的密钥。在把你的密钥保存到保险库窗口中，点击用触控 ID 创建我的保险库，然后用触控 ID 或 Mac 的密码确认。

恢复代码

紧接着，tTerm 会显示你的恢复代码：24 个字母和数字，分为六组，每组四个。它只会显示这一次。点击复制或保存为文件，把它存放在安全的地方，与能打开保险库的设备分开。万一这些设备全部丢失，这个代码就是找回密钥的唯一途径：tTerm 无法替你找回它们。勾选你已保存好代码之后，才能点击完成。

在其他浏览器中打开

保险库还不认识的浏览器，要通过在这个浏览器中打开你的密钥窗口来打开它。在设置 → 密钥中点击打开，或打开一台用你的密钥打开的服务器时，就会弹出这个窗口。

在 tTerm Mac 版中批准。 如果你的保险库能在某台 Mac 的 tTerm Mac 版中打开，窗口就会列出这台 Mac：点击请它在这里打开你的保险库。Mac 上会弹出一个窗口，说明是哪个浏览器在请求、它何时登录、从哪个地址登录。两边屏幕上会显示同样的六位数字：只有数字一致时，才点击用触控 ID 允许。不是我会结束那个浏览器的登录，设置 → 设备会显示还需要检查什么。请求的有效期为五分钟。
使用恢复代码。 在恢复代码中输入它，然后点击打开。

如果浏览器可以保存通行密钥，tTerm 接着会询问是否保存一个，这样下次保险库就能用解锁这台电脑的方式打开：点击用触控 ID 保存（或者 Windows Hello、通行密钥）；如果这不是你自己的电脑，点击仅此一次。

在浏览器中创建的保险库，第一次在 tTerm Mac 版中要用恢复代码打开：在设置 → 密钥中点击用恢复代码打开。此后，在那台 Mac 上用触控 ID 或 Mac 的密码就能打开它。

何时重新锁定

在浏览器中：8 小时没有任何操作后、关闭或重新加载 tTerm Web 时、退出登录时，以及在设置 → 密钥中点击锁定时。
在 tTerm Mac 版中：只要 tTerm 在运行，保险库就会一直打开，直到你点击锁定或退出登录。退出登录还会让这台 Mac 无法再自己打开保险库：重新登录后，它要用你的恢复代码打开一次保险库。

设置 → 密钥

页面顶部会显示保险库在这里是否已打开、是怎样打开的，以及何时会重新锁定。每个密钥占一行：名称、类型和简短指纹；它可打开哪些服务器，或者还没有服务器用它打开；它是何时从 Mac 保存或从文件添加的；以及上次使用的时间，或者尚未使用。

移除会在确认后把密钥移出你的保险库，tTerm 会删除它的加密副本。用它打开的服务器仍留在 tTerm 中，但无法再打开。密钥本身仍留在原处：你的 Mac 上，或它的文件中。
生成新的恢复代码会显示一个新代码，只显示一次，之前的代码随即失效。你的密钥和设备保持不变。生成时需要触控 ID 或这个浏览器的通行密钥；没有你保险库通行密钥的浏览器，会要求输入你现在的代码。弄丢了？请在 tTerm Mac 版中生成新代码。
从文件添加密钥在浏览器中提供。在 tTerm Mac 版中，密钥来自“迁移到云端”和 ssh 之后的提示条。

在密钥列表下方，页面会显示保险库可以在哪里打开：能自己打开它的每台 Mac 和每个浏览器，或者只能用你的恢复代码打开。

可以保存哪些密钥

Ed25519、ECDSA P-256 和 P-384，以及 RSA。不能保存 DSA 和 ECDSA P-521 密钥，也不能保存存放在安全密钥上的密钥（sk-…），因为它们无法从安全密钥中取出：这些密钥对应的服务器可以通过你的 Mac 打开。

浏览器能读取 OpenSSH 自有格式的密钥（设有密码短语的也可以），或不带密码短语的 PEM 格式密钥（PKCS#8、PKCS#1），每个文件一个密钥。设有密码短语的 PEM 文件，需要先运行 ssh-keygen -p -f 加文件名，把它转换为 OpenSSH 格式。tTerm Mac 版读取 OpenSSH 格式的密钥。

有些浏览器无法用 Ed25519 密钥签名。在这样的浏览器中，设置 → 密钥会注明这一点；使用这类密钥的服务器，可以在较新的浏览器或 tTerm Mac 版中打开。

等待保险库的服务器

当你的所有设备都没有打开保险库时，用你的密钥打开的服务器上的终端会一直等待，并显示 web-01 用你的密钥打开。

在保存了通行密钥的浏览器中，点击用触控 ID 打开、用 Windows Hello 打开或用通行密钥打开。
在其他浏览器中，点击在 … 上批准（… 处是你的 Mac 的名称），或点击使用恢复代码。
在 tTerm Mac 版中，点击用触控 ID 打开；如果这台 Mac 还不能自己打开你的保险库，点击使用恢复代码。

保险库一打开，终端就会显示正在用你的密钥登录 web-01…，然后自动打开。