用 macOS 安全隔区保护 SSH 私钥：原生方案能做，但很丑
来源：gatezh.com — 2026-11-10
📋 概述
作者的私钥一直躺在 ~/.ssh 里，除了文件权限什么都没有，任何拿到文件系统的脚本都能拷走它，用来登录他的所有服务器。他调研了四条路：macOS 原生安全隔区、Secretive、YubiKey、1Password 或 Bitwarden 的 SSH agent。结论有点反高潮：原生方案确实能跑通，但用起来实在难看，他自己最终没选它。文章把取舍都摊开了。
🔑 核心要点
- 威胁模型很具体：不是远程攻击，而是“你 clone 了一个假面试作业并运行它”，私钥随之被读走。
- 安全隔区的价值是私钥永不离开芯片，签名在隔区内完成，文件系统里根本没有可拷的密钥。
- 原生方案的代价在易用性：密钥生成、agent 集成、容器与远程主机的兼容都要手工折腾，作者认为无法长期忍受。
- 作者对第三方方案的评估也克制——软件保险库仍把密钥解密到内存，硬件 key 则在便携性上打折。
💡 金句
它们就那么躺在 ~/.ssh 里，除了文件权限，什么都没保护。
👍 0
👎 0
← 返回 Hacker News 首页