Termius 中文文档 下载 App

Termius MFA 多因素认证与硬件密钥 | YubiKey、FIDO2 加固 SSH 安全

SSH 连接为什么还要加 MFA

密钥认证已经比密码安全很多了，但还是有弱点：

MFA（多因素认证）加一层：除了密钥，还要有一个「只有你能实时提供」的东西才能连。

Termius 支持的 MFA 方式

1. 硬件密钥（FIDO2 / U2F）

推荐，最高安全性。

支持的硬件：

工作原理：

  1. 生成一对 FIDO2 密钥——私钥烧在硬件里，永远导不出来
  2. 服务器部署公钥
  3. 连接时 Termius 会提示「按下硬件密钥确认」
  4. 只有物理按下硬件密钥才能完成认证

好处：

Termius 配置步骤：

  1. 插入硬件密钥
  2. 左侧导航 → Keys → New Keychain Identity → 选择 Hardware Key / FIDO2
  3. Termius 检测到硬件后提示按一下
  4. 生成密钥对，公钥复制到服务器
  5. 后续连接到启用了硬件密钥认证的主机时，Termius 会提示插入并按一下硬件

服务器端配置：

2. TOTP（基于时间的一次性密码）

软件级的 MFA，用手机 App 生成验证码。

典型方式：

Termius 可以和 TOTP 配合：

3. 密码 + 密钥双重

最简单的 MFA 变体：

  1. 先过密钥认证
  2. 密钥通过后还要输入账户密码

Termius 可以配置同一主机先 Key 再 Password，按顺序尝试认证方式。这在服务器端 AuthenticationMethods publickey,password 配置了多因素时自动触发。

SSO（Business / Enterprise 版）

Business 和 Enterprise 版支持 SAML / OIDC SSO 单点登录：

换句话说：SSO 保护的是 Vaults 云数据的访问（谁能拿到主机配置），MFA 保护的是 SSH 到具体服务器的连接。两层独立。

硬件密钥在移动端能用吗

iOS： 通过 Lightning 或 USB-C 转接头连接 YubiKey，Termius iOS 版支持 FIDO2。

Android： 通过 USB OTG 连接 YubiKey，Termius Android 版同样支持。

实际场景：你在服务器上配置了 FIDO2 密钥，把公钥部署到服务器后，不管用电脑还是手机，都需要插入硬件密钥并按一下才能连上。这确保了即使手机丢了也不会有人用你的 SSH 连接。

推荐的安全层级

根据安全需求，组合方式：

安全级别推荐方案
普通个人使用密钥认证（Ed25519 + passphrase）
重要服务器密钥 + YubiKey FIDO2
合规要求SSO + YubiKey + 密钥
最高硬件密钥 + 跳板机 + 操作审计日志

注意事项