API-sleutels en app-registraties
Geen id's en sleutels meer in een notitie: zet ze in eigen velden, dan kopieer je elke waarde met één tik.
- + API-sleutels: meerdere sleutels per item, elk met een naam en een korte beschrijving. Bijvoorbeeld API v3 en API v4 bij Kit, of de API Key en de Read Access Token van TMDB.
- + App-registratie: voor Microsoft Entra (Azure), Google OAuth en dergelijke. Weergavenaam, Tenant-ID, Client-ID, Object-ID, het clientgeheim met Geheim-ID, de datum waarop het geheim verloopt en de omleidings-URI's.
Vul je de verloopdatum van het clientgeheim in, dan staat het item 30 dagen van tevoren onder Aandacht bij Geheim verloopt. Zo maak je op tijd een nieuw geheim, voordat inloggen op je website stopt.
Zoeken werkt op de namen, nooit op de sleutels zelf. Verander je een sleutel of geheim, dan staat de oude in de geschiedenis van het item.
SSH-agent: git en ssh met sleutels uit je kluis
De SSH-agent werkt op de Mac. Op iPhone en iPad bewaar en kopieer je SSH-sleutels wel gewoon in je kluis.
- Zet je privésleutel in je kluis: open een item (of maak er een), kies + SSH-sleutel en plak de privésleutel. Die begint met -----BEGIN OPENSSH PRIVATE KEY-----.
- Ga naar Instellingen › Developer en zet SSH-agent aan.
- Klik op Kopieer en zet de twee regels bovenaan in ~/.ssh/config.
- Probeer het: ssh -T [email protected]. Sifrvault vraagt om Touch ID, met de naam van de sleutel en het programma, zoals git.
De regels voor ~/.ssh/config:
- Host *
- IdentityAgent "~/Library/Group Containers/FQ3848873M.app.sifrvault/ssh-agent.sock"
Sifrvault werkt met ed25519-, ECDSA- en RSA-sleutels. Een sleutel met een eigen wachtwoordzin kan de agent niet gebruiken; Instellingen › Developer laat zien welke. Je kluis is zelf al versleuteld, dus zo’n wachtwoordzin is niet nodig.
Bevestigen met Touch ID
Bij elke ondertekening en elke opvraging vraagt Sifrvault om Touch ID of het wachtwoord van je Mac. In het venster staat welke sleutel of welk item, en welk programma erom vraagt.
Veel git-opdrachten achter elkaar? Kies in Instellingen › Developer bij Opnieuw bevestigen 1, 5 of 15 minuten. Vergrendel je je kluis, dan vraagt Sifrvault meteen weer. Is je kluis vergrendeld, dan ontgrendelt dezelfde Touch ID hem ook.
sifr: wachtwoorden en tokens in de terminal
- Zet Opdrachtregel (sifr) aan in Instellingen › Developer.
- Klik op Installeer sifr in de terminal… en plak een van de regels in Terminal. Sifrvault mag zelf niets buiten de eigen map zetten; deze regel maakt een verwijzing naar het programma in de app.
- sifr get github: het wachtwoord van GitHub.
- sifr get github --field token: een ander veld. Ook: username, email, url, note, totp, of de naam van een eigen veld.
- sifr totp github: de huidige 2FA-code.
- sifr list: de namen in je kluis.
In een script zonder regeleinde: export GITHUB_TOKEN=$(sifr get github --field token -n). Draait Sifrvault niet, dan start sifr de app zelf.
Hoe veilig is dit?
- Je privésleutels verlaten de app nooit. ssh krijgt alleen de handtekening, niet de sleutel.
- Alleen het sifr-programma dat in de app zit en door ons is ondertekend, mag met de app praten. Andere programma’s worden geweigerd.
- De SSH-agent is alleen bereikbaar voor jouw gebruiker op deze Mac, en vraagt bij elke ondertekening om Touch ID.
- Sleutels toevoegen met ssh-add kan niet: je kluis is de enige plek waar ze staan.
- Zodat ssh ook bij een vergrendelde kluis weet welke sleutels er zijn, onthoudt de Mac de publieke sleutels (geen namen, geen privésleutels).