把 SSH 私钥放进 YubiKey：一套更安全、可迁移的密钥管理方案

内容摘要

• 方案将 SSH 私钥对应的 OpenPGP 子钥写入 YubiKey，主密钥离线保存，日常签名在硬件内完成，降低主机入侵、文件窃取或误拷贝导致私钥泄露的风险。 • 文中推荐 YubiKey 5 NFC（USB-A）或 5c NFC（USB-C），并准备多把备用设备，以应对硬件损坏；固件出厂后不可升级，不同版本对算法和功能的支持可能不同。 • 准备阶段需安装 gnupg、yubikey-personalization、ykman、pinentry-mac 等依赖，并为设备分别设置日常解锁 PIN 与管理 PIN；文中列出的默认 PIN 应在启用前修改。 • 密钥生成采用 ECC 签名与加密能力，文中示例选择 Curve 25519 且不设置到期时间，并建议为私钥设置口令；该示例还涉及离线操作、密钥续期和轮换机制。 文章介绍了一套以 YubiKey 承载 OpenPGP 子钥、离线保管主密钥并配合备用设备和轮换机制的 SSH 密钥管理实践。