Schlüsselbund

Was jedes Feld, jeder Schalter und jede Einstellung tut, 53 Bedienelemente auf dieser Seite. Es ist der Text hinter dem ⓘ neben jeder Beschriftung in den Apps: Auf dem Desktop darauf zeigen oder klicken (oder im Feld F1 drücken), auf dem Smartphone antippen.

Die Zeile unter jedem Namen nennt die ID, die der Code dafür verwendet, und sagt, wenn nur eine der Apps das Element hat.

Identität

Wo: Schlüsselbund › Identitäten › Neue Identität.

Bezeichnung

identity.label

Wie du diese Identität in der Liste nennst. Eine Identität ist eine Anmeldung (Benutzername, Passwort, Schlüssel), einmal gespeichert und von vielen Hosts wiederverwendet.

• Beispiel: deploy@production

Benutzername

identity.username

Der Kontoname auf den Servern, die diese Identität verwenden.

• Beispiel: deploy

Passwort

identity.password

Das Passwort dieses Kontos, falls es sich damit anmeldet. Lass es für eine reine Schlüsselanmeldung leer. Auf dem Desktop wird ein gespeichertes Passwort nie wieder angezeigt: Lass das Feld leer, um es zu behalten, oder gib ein neues ein, um es zu ersetzen.

• Standard: Keins.
• Achtung: Es wird im Tresor gespeichert und mit ihm synchronisiert, außer „Schlüssel und Identitäten synchronisieren“ unter Einstellungen › Sicherheit ist aus.

Gespeichertes Passwort entfernen

identity.removePassword · Nur Desktop

Löscht beim Speichern das mit dieser Identität gespeicherte Passwort. Hosts mit dieser Identität melden sich dann mit ihrem Schlüssel an oder fragen nach einem Passwort.

• Standard: Aus.

Schlüssel

identity.key

Der private Schlüssel, mit dem sich diese Identität anmeldet. Nur Schlüssel aus demselben Tresor werden angeboten.

• Standard: Kein Schlüssel.

Schlüssel erzeugen

Wo: Schlüsselbund › Schlüssel › Erzeugen.

Typ

keygen.type

Die Art des zu erstellenden Schlüsselpaars. Ed25519 ist kurz, schnell und wird von jedem aktuellen Server akzeptiert. Wähle ECDSA oder RSA nur für einen Server, der es verlangt. Die „Sicherheitsschlüssel“-Typen halten die private Hälfte auf einem Hardware-Sicherheitsschlüssel (einem FIDO2-Schlüssel wie YubiKey oder SoloKey: per USB eingesteckt oder auf einem Smartphone auch per NFC an die Rückseite gehalten), der zur Anmeldung vorhanden sein muss. Jeder FIDO2-Schlüssel kann ECDSA; die meisten neueren auch Ed25519.

• Standard: Ed25519.
• Mehr: Weiterlesen (auf Englisch)

Größe

keygen.bits · Nur Desktop

Die Länge eines RSA- oder ECDSA-Schlüssels in Bit. Länger ist stärker und langsamer. RSA: 2048, 3072 oder 4096. ECDSA: 256, 384 oder 521.

• Standard: RSA 4096, ECDSA 256.

Anwendung

keygen.application

Der Name, unter dem ein Sicherheitsschlüssel diese Anmeldeinformation ablegt. Er muss mit „ssh:“ beginnen. Ändere ihn nur, um mehrere SSH-Schlüssel auf einem Sicherheitsschlüssel auseinanderzuhalten.

• Standard: ssh:
• Beispiel: ssh:work

Bei jeder Anmeldung Berührung verlangen

keygen.requireTouch

Du musst den Sicherheitsschlüssel bei jeder Anmeldung berühren, was beweist, dass eine Person anwesend ist. Ausgeschaltet signiert er unbemerkt.

• Standard: An.
• Achtung: Ausgeschaltet muss der Server das ebenfalls erlauben (die Option no-touch-required in der Zeile dieses Schlüssels in der authorized_keys-Datei des Servers), und nichts beweist, dass eine Person anwesend war.

PIN oder Biometrie des Sicherheitsschlüssels verlangen

keygen.verifyRequired

Jede Anmeldung braucht zusätzlich die PIN oder den Fingerabdruck des Sicherheitsschlüssels, nicht nur eine Berührung. Verwende das für einen Schlüssel, der gefährlich wäre, wenn er mit dem Gerät gestohlen wird.

• Standard: Aus.

PIN des Sicherheitsschlüssels

keygen.pin

Die PIN des Sicherheitsschlüssels, die zum Erstellen der Anmeldeinformation nötig ist, wenn der Schlüssel eine hat. Sie wird einmal verwendet und nicht gespeichert.

• Standard: Leer.

Schlüssel auf dem Sicherheitsschlüssel speichern

keygen.resident

Speichert den Schlüssel auf dem Sicherheitsschlüssel selbst (ein „residenter“ oder „auffindbarer“ Schlüssel), sodass du ihn auf einem anderen Computer oder Smartphone mit „Von Sicherheitsschlüssel importieren“ oder mit ssh-keygen -K in Sternway laden kannst. Braucht einen Sicherheitsschlüssel mit PIN.

• Standard: Aus: Die Schlüsseldatei bleibt in diesem Schlüsselbund und funktioniert nur mit demselben Sicherheitsschlüssel.
• Achtung: Wer den Sicherheitsschlüssel hat und seine PIN kennt, kann den Schlüssel laden.
• Mehr: Weiterlesen (auf Englisch)

Benutzername auf dem Sicherheitsschlüssel

keygen.user

Ein Name, unter dem der Sicherheitsschlüssel einen gespeicherten Schlüssel ablegt, damit ein Schlüssel mehrere SSH-Schlüssel für dieselbe Anwendung halten kann. Ein gespeicherter Schlüssel mit derselben Anwendung und demselben Benutzernamen ersetzt den vorherigen. Höchstens 32 Bytes.

• Standard: Leer.
• Beispiel: ada

Bezeichnung

keygen.label

Wie du diesen Schlüssel in der Liste nennst. Erforderlich, bis zu 256 Zeichen.

• Beispiel: Laptop 2026

Kommentar

keygen.comment

Eine Notiz, die im öffentlichen Schlüssel gespeichert wird. Sie erscheint in der authorized_keys-Datei eines Servers, sodass ein Administrator erkennen kann, wem der Schlüssel gehört.

• Standard: Leer auf dem Desktop; „sternway-mobile“ auf dem Smartphone.
• Beispiel: ada@laptop

Passphrase

keygen.passphrase

Ein Passwort, das den privaten Schlüssel selbst verschlüsselt. Du wirst bei jeder Verwendung des Schlüssels danach gefragt; es wird nicht gespeichert. Lass es leer für einen Schlüssel, der ohne Rückfrage funktioniert.

• Standard: Keine.
• Achtung: Es gibt kein zweites Feld zur Bestätigung und keine Möglichkeit zur Wiederherstellung: Eine vertippte oder vergessene Passphrase macht den Schlüssel unbrauchbar.

Schlüssel importieren

Wo: Schlüsselbund › Schlüssel › Importieren.

Privater Schlüssel

keyImport.privateKey

Ein vorhandener privater Schlüssel, als Datei gewählt oder vollständig eingefügt, einschließlich seiner BEGIN- und END-Zeilen. Akzeptiert werden OpenSSH, PEM (PKCS#1, PKCS#8, SEC1) und PuTTY-.ppk-Dateien; eine .ppk wird in OpenSSH umgewandelt. Eine mitgewählte .pub-Datei muss die passende öffentliche Hälfte sein.

• Achtung: Mit einem privaten Schlüssel kann sich jeder, der ihn besitzt, als du anmelden. Importiere nur deine eigenen und lösche verstreute Kopien danach.

Passphrase

keyImport.passphrase

Die Passphrase des zu importierenden Schlüssels, nur nötig, wenn der Schlüssel verschlüsselt ist. Sie wird zum Lesen des Schlüssels verwendet.

• Achtung: Der Desktop behält sie nicht und fragt bei Verwendung des Schlüssels erneut. Das Smartphone speichert sie mit dem Schlüssel auf dem Gerät, sodass der Schlüssel dann ohne Rückfrage funktioniert.

Bezeichnung

keyImport.label

Wie du diesen Schlüssel in der Liste nennst. Bleibt es leer, wird der Kommentar des Schlüssels übernommen, sonst der Dateiname.

Von Sicherheitsschlüssel importieren

Wo: Schlüsselbund › Schlüssel › Von Sicherheitsschlüssel importieren.

PIN des Sicherheitsschlüssels

keyLoad.pin

Die PIN des Sicherheitsschlüssels. Das Lesen der darauf gespeicherten Schlüssel erfordert sie immer. Sie wird einmal verwendet und nicht gespeichert.

• Achtung: Einige falsche PINs hintereinander sperren den Sicherheitsschlüssel; eine gesperrte PIN lässt sich nur zurücksetzen, wodurch die darauf gespeicherten Schlüssel gelöscht werden.
• Mehr: Weiterlesen (auf Englisch)

Passphrase für die Schlüsseldateien

keyLoad.passphrase

Optional. Verschlüsselt die Schlüsseldateien, die Sternway für die geladenen Schlüssel speichert; du wirst dann bei jeder Anmeldung danach gefragt, zusätzlich zur Berührung.

• Standard: Keine.

Schlüssel: exportieren, umbenennen, installieren, Hardware

Wo: Schlüsselbund › ein Schlüssel.

Passphrase für die Datei (optional)

keyExport.passphrase

Verschlüsselt die exportierte Kopie mit dieser Passphrase; der in der App gespeicherte Schlüssel bleibt unverändert. Nur für einen Schlüssel ohne eigene Passphrase angeboten.

• Standard: Keine: Die exportierte Datei ist nicht verschlüsselt.
• Achtung: Ohne Passphrase kann sich jeder, der die Datei bekommt, als du anmelden.

Passphrase bestätigen

keyExport.passphraseConfirm

Gib dieselbe Passphrase noch einmal ein, um Tippfehler zu erkennen, bevor die Datei geschrieben wird.

Name

key.rename

Wie du diesen Schlüssel in der Liste nennst. Umbenennen ändert nichts auf Servern.

Bezeichnung

hwKey.label · Nur Desktop

Wie du diesen Hardware-Schlüssel in der Liste nennst. Seine private Hälfte wird in der sicheren Hardware dieses Computers erzeugt und kann nie herauskopiert, synchronisiert oder exportiert werden.

Bei jeder Verwendung Bestätigung verlangen

hwKey.requirePresence · Nur Desktop

Der Computer fragt bei jeder Anmeldung mit dem Schlüssel nach deinem Fingerabdruck, Gesicht oder deiner PIN.

• Standard: An.

Schlüssel

keyInstall.key

Der Schlüssel, dessen öffentliche Hälfte zur Liste der akzeptierten Schlüssel des Servers hinzugefügt wird (der authorized_keys-Datei des Kontos, mit dem du dich anmeldest), sodass dieses Konto den Schlüssel ab dann akzeptiert. Die private Hälfte verlässt nie dieses Gerät. Ein Schlüssel, der schon in der Liste steht, wird nicht doppelt hinzugefügt.

Hosts

keyInstall.hosts

Die Server, auf denen der Schlüssel hinzugefügt wird. Die App meldet sich bei jedem wie gewohnt an, legt ~/.ssh und authorized_keys an, falls sie fehlen, und hängt eine Zeile an. Nichts, was bereits in der Datei steht, wird geändert, und ein schon vorhandener Schlüssel bleibt unberührt.

Zertifikat

Wo: Schlüsselbund › Zertifikate › Zertifikat anhängen.

Zertifikat

cert.certificate

Ein SSH-Zertifikat ist ein öffentlicher Schlüssel, signiert von der Zertifizierungsstelle deiner Organisation; Server, die der Stelle vertrauen, akzeptieren es, ohne dass der Schlüssel auf jedem installiert sein muss. Füge den Inhalt der …-cert.pub-Datei ein, und seine Details werden für dich ausgelesen.

• Beispiel: ssh-ed25519-cert-v01@openssh.com AAAA…

Schlüssel

cert.key

Der private Schlüssel, für den dieses Zertifikat ausgestellt wurde. Der zum Zertifikat passende Schlüssel wird für dich gewählt, wenn er im Schlüsselbund ist.

Typ

cert.type · Nur Desktop

Ein Benutzerzertifikat meldet dich bei Servern an; ein Host-Zertifikat identifiziert einen Server. Aus dem Zertifikat gelesen; ändere es nur, wenn das Zertifikat nicht gelesen werden konnte.

• Standard: Benutzer.

Principals

cert.principals · Nur Desktop

Die Kontonamen, für die das Zertifikat gilt (OpenSSH nennt sie Principals), durch Kommas getrennt. Ein Server akzeptiert das Zertifikat nur für ein hier genanntes Konto. Aus dem Zertifikat gelesen.

• Beispiel: deploy, ubuntu

Gültig ab

cert.validAfter · Nur Desktop

Der Zeitpunkt, ab dem das Zertifikat gilt, in deiner Ortszeit. Leer bedeutet: kein Beginn. Ein Zertifikat wird beim Verbinden nur angeboten, solange es gültig ist.

Gültig bis

cert.validBefore · Nur Desktop

Der Zeitpunkt, zu dem das Zertifikat abläuft, in deiner Ortszeit. Leer bedeutet: nie. Danach lehnen Server es ab, und du brauchst ein neues.

Seriennummer

cert.serial · Nur Desktop

Die Nummer, die die Zertifizierungsstelle diesem Zertifikat gegeben hat, aus dem Zertifikat selbst gelesen. Der Administrator der Stelle braucht sie, um dieses Zertifikat zu finden oder zu widerrufen, gib sie also an, wenn du nach einem fragst.

Schlüssel-ID

cert.keyIdField · Nur Desktop

Der Name, den die Zertifizierungsstelle in das Zertifikat geschrieben hat und den Server in ihre Logs schreiben. Aus dem Zertifikat gelesen.

CA-Fingerabdruck (SHA256)

cert.caFingerprint · Nur Desktop

Der Fingerabdruck der Stelle, die das Zertifikat signiert hat, damit du prüfen kannst, ob es die erwartete ist. Aus dem Zertifikat gelesen.

Zertifizierungsstelle

Wo: Schlüsselbund › ein Schlüssel › Zertifizierungsstelle.

Längstes Zertifikat (Stunden)

ca.maxValidity · Nur Desktop

Macht diesen Schlüssel zu einer Zertifizierungsstelle (CA), die SSH-Zertifikate für andere Schlüssel signiert, hier auf diesem Gerät: Ihr privater Schlüssel bleibt verschlüsselt in deinem Tresor und wird nie an einen Server gesendet. So lange darf ein von ihr signiertes Zertifikat höchstens gelten; jedes Zertifikat kann kürzer sein.

• Standard: 168 Stunden (7 Tage); höchstens 8784 (366 Tage).
• Achtung: Wer diesen Schlüssel nutzen kann, kann jeden dort anmelden lassen, wo der CA vertraut wird: Bewahre ihn in einem Tresor auf, den nur die Richtigen öffnen können. In einem geteilten Tresor kann jedes Mitglied, das ihn bearbeiten darf, damit signieren. Ein Schlüssel, mit dem sich Hosts anmelden, kann keine CA sein, und ein CA-Schlüssel kommt nie in einen weitergeleiteten Agenten.

Zu zertifizierender Schlüssel

caSign.subject · Nur Desktop

Der Schlüssel, für den das Zertifikat ist. Das Zertifikat wird bei diesem Schlüssel gespeichert, und eine Anmeldung mit dem Schlüssel legt es ab dann vor.

Zertifikat für

caSign.type · Nur Desktop

Ein Benutzerzertifikat meldet eine Person an Servern an, die dieser CA vertrauen (TrustedUserCAKeys). Ein Host-Zertifikat bestätigt Clients, dass ein Server der ist, der er zu sein behauptet (@cert-authority in known_hosts).

• Standard: Benutzer.

Principals

caSign.principals · Nur Desktop

Bei einem Benutzerzertifikat die Konten, als die es sich anmelden darf; bei einem Host-Zertifikat die Namen des Servers. Trenne sie mit Kommas oder Leerzeichen.

• Beispiel: deploy, ubuntu
• Achtung: Mindestens einer. Ein Principal hat keine Leerzeichen, Kommas, Steuerzeichen oder Steuerzeichen für die Schreibrichtung.

Gültig für (Stunden)

caSign.validity · Nur Desktop

Wie lange das Zertifikat gilt, ab einer Minute vor dem Signieren (für einen Server, dessen Uhr etwas nachgeht). Kurze Zertifikate muss man nicht widerrufen: Sie laufen einfach ab.

• Standard: 8 Stunden; höchstens das längste Zertifikat der CA.

Schlüssel-ID

caSign.keyId · Nur Desktop

Ein Name, der ins Zertifikat geschrieben wird und den Server bei seiner Verwendung protokollieren.

• Standard: Der Name des Schlüssels, für den es ist.
• Achtung: Keine Steuerzeichen und keine Steuerzeichen für die Schreibrichtung: Sie würden verändern, wie sich die Protokolle der Server lesen.

Erzwungener Befehl

caSign.forceCommand · Nur Desktop

Wenn gesetzt, führt eine Anmeldung mit diesem Zertifikat nur diesen Befehl aus, egal was verlangt wurde (OpenSSH force-command). Nur für ein Benutzerzertifikat.

• Standard: Keiner: jeder Befehl.
• Beispiel: /usr/local/bin/backup –run

Erlaubt von

caSign.sourceAddress · Nur Desktop

Wenn gesetzt, gilt das Zertifikat nur von diesen IP-Adressen oder CIDR-Bereichen aus, durch Kommas getrennt (OpenSSH source-address). Nur für ein Benutzerzertifikat.

• Standard: Leer: von überall.
• Beispiel: 10.0.0.0/8,192.168.1.7
• Achtung: Ein Bereich ist seine Netzadresse mit Maske (10.0.0.0/8, nicht 10.0.0.1/8): Server lehnen einen Bereich mit gesetzten Bits hinter der Maske ab.

Erlaubt

caSign.extensions · Nur Desktop

Was eine Sitzung mit diesem Zertifikat darf: ein Terminal (pty), Portweiterleitung, Agent-Weiterleitung, X11-Weiterleitung und die ~/.ssh/rc des Benutzers. Entferne den Haken bei allem, was das Zertifikat nicht erlauben soll. Nur für ein Benutzerzertifikat.

• Standard: Alle fünf, wie ssh-keygen sie vergibt.

Passphrase des CA-Schlüssels

caSign.passphrase · Nur Desktop

Dieser CA-Schlüssel ist verschlüsselt und seine Passphrase ist nicht gespeichert: Gib sie zum Signieren ein. Sie wird nur für dieses Zertifikat verwendet und nicht behalten.

Hosts, für die sie bürgt

caTrust.hostPattern · Nur Desktop

Die Hostnamen, deren Host-Zertifikaten von dieser CA vertraut wird, wie in known_hosts: Platzhalter und durch Kommas getrennte Listen. Ein Host, der ein von dieser CA für seinen Namen signiertes Zertifikat zeigt, ist dann ohne Rückfrage bekannt.

• Beispiel: *.example.com
• Achtung: Vertraue einer CA nur für Namen, für die sie bürgen soll: Sie kann dann für jeden Host sprechen, den das Muster abdeckt. In einem geteilten Tresor wird * allein abgelehnt.

Step CA

Wo: Schlüsselbund › ein Schlüssel › Step CA.

CA-Adresse

stepCa.url · Nur Desktop

Die Adresse deines step-ca-Servers, von dem dieser Schlüssel kurzlebige SSH-Zertifikate bekommt. Es wird nur https verwendet (einfaches http nur zu diesem Computer). Jede Antwort der CA wird bis 1 MiB gelesen.

• Beispiel: https://ca.example.com
• Achtung: Bei einem Schlüssel in einem Tresor, den andere ändern können, bestimmen diese Einstellungen, wohin deine Anmeldung geht: Die App fragt, bevor dieses Gerät sie zum ersten Mal nutzt, und nach jeder Änderung.

Root-Fingerabdruck

stepCa.rootFingerprint · Nur Desktop

Der SHA-256-Fingerabdruck des Root-Zertifikats der CA, wie step certificate fingerprint root_ca.crt ihn ausgibt. Die App vertraut für die CA nur diesem Root: Ein Server mit einem anderen Root wird abgewiesen, bevor etwas gesendet wird.

• Achtung: Hol ihn dir über einen vertrauenswürdigen Weg vom Administrator deiner CA, nicht von der CA selbst.

Provisioner

stepCa.provisioner · Nur Desktop

Wie die CA prüft, dass du es bist: Ein JWK-Provisioner fragt nach seinem Passwort; ein OIDC-Provisioner öffnet deinen Identitätsanbieter im Browser. Lade die Liste von der CA und wähle dann.

Principals

stepCa.principals · Nur Desktop

Die Konten, die bei der CA angefragt werden, durch Kommas oder Leerzeichen getrennt. Die CA entscheidet, welche sie gewährt.

• Beispiel: deploy

Provisioner-Passwort

stepCa.password · Nur Desktop

Das Passwort des JWK-Provisioners. Es öffnet den verschlüsselt ausgegebenen Provisioner-Schlüssel hier auf diesem Gerät, um die Anfrage zu signieren; es wird nur für dieses Zertifikat verwendet und nie gespeichert oder gesendet.

• Achtung: Wer dieses Passwort hat, kann bei der CA ein Zertifikat für jeden Principal anfordern, den der Provisioner erlaubt, für jeden Schlüssel: Gib es bei einem Team-Schlüssel nur an die weiter, die das dürfen.