Was will man eigentlich als hardware-token für ssh-auth benutzen? Habs mit yubikey versucht, aber das ist irgendwie goldener analkrebs, weil verwaltung und benutzung broken sind... irgendwelche tipps?
Nov 11, 2026, 8:20 AM@Kamikazepinguin ich hab es irgendwie mit Yubikey hinbekommen. (Und keine Doku geschrieben...). K.p. ob Nitrokey besseres Handling hat.
@uvok bei mir bekomm ich mein key nichtmal drauf, geschweige denn ausgelesen... hab das inzwischen aufgegeben, weil deren toolchain etwas sehr broken ist :/
@Kamikazepinguin was ist dein problem mit der benutzung? solange du nicht irgendwelche ssl certs zum auth. nehmen willst ist das eig straight forward… ich such dir im laufe des tages raus wie ich das gemacht hab (zumindest unter linux) - aber ja verwaltung ist speziell mit den dingern aber es gibt tooling is nur nicht ganz so toll und teilweise muss die hardware version passen für manche features
@tuxel scheitert schon drann, den key auf den ömmel zu übertragen, hatte das mit dem howto von der herstellerseite getestet... testhalber versucht, mit dem default-key zu authen, scheisst sich genau so ein.... meine beiden sind was älter grad net sicher ob v4 oder v5, meine aber 5, weil die nfc können.
@Kamikazepinguin ok dann bist du innerhalb von v5 noch limitiert was die schlüssellänge angeht meine ich da gibs 2 HW versionen
@Kamikazepinguin
firmware <5.7 nur 2048er keys >5.7 bis 4096 (kein ssl nur x.509 oder PIV certs)
tools:
ykman
yuboco-piv-tool
pivy-tool
ssh verbindung geht dann:
pivy-agent mit user systems-service - ab und an muss man den yubikey abziehen und service neustarten, aber weitgehend stabil
openssh-agent mit libykcs11.so oder opensc-pkcs11.so als PKCS11Provider - probleme mit suspend
gpg-agent mit scdaemon - eher umständlich nicht selbst getestet
will man keine Keys verwenden:
FIDO2: setz eine fido pin via yubikey-manager (nicht der piv-pin) dann kannst du keys mit ed25519-sk oder ecdsa-sk erstellen und nutzen. kannst auch einstellen ob der key eingesteckt sein soll oder ob du jedesmal touch+pin machen willst.
hoffe das hilft dir etwas weiter