openssh 8.2+原生支持fido2认证，核心是生成ed25519-sk/ecdsa-sk密钥、部署公钥至authorized_keys，并确保客户端和服务端满足版本、libfido2、内核模块及设备权限要求。

Linux服务器上配置FIDO2物理安全密钥认证，核心是让OpenSSH服务端接受FIDO2密钥生成的公钥，并确保客户端能正确触发硬件验证。整个过程不依赖额外服务或代理，只要OpenSSH版本达标、系统识别设备、密钥格式正确即可生效。

确认基础环境是否就绪

先检查最关键的三项：OpenSSH版本、内核支持、设备可访问性。

• 运行 ssh -V，输出必须为 OpenSSH_8.2p1 或更高（如 9.0、9.8）；Ubuntu 20.04+、Debian 11+、CentOS Stream 9 及更新系统通常默认满足
• FIDO2密钥插入后，执行 ls /dev/hidraw* 应能看到设备节点（如 /dev/hidraw0）；若无输出，尝试加载内核模块：sudo modprobe u2f-hidraw 或 hid-generic
• 当前用户需有读写权限，常见做法是加入 dialout 组：sudo usermod -aG dialout $USER，然后重新登录终端
• 可选验证libfido2可用性：ssh-keygen -D /usr/lib/x86_64-linux-gnu/libfido2.so.1（路径因发行版而异，macOS无需指定）

生成FIDO2兼容的密钥对

密钥生成在客户端完成，全程需物理交互——插入密钥并触摸感应区。推荐使用 ed25519-sk（更高效），兼容性足够；ecdsa-sk 作为备选。

linux-sysadmin

Linux系统管理专家，覆盖12大模块：用户权限、SSH、存储、网络、systemd、防火墙、日志监控、备份恢复、TLS证书、Ansible、容器、IaC。提供配置、验证、加固、监控、备份、自动化、故障排查、回滚闭环。关键词：useradd、sudo、sshd_config、chmod、SEL...

下载

• 基础命令：ssh-keygen -t ed25519-sk -f ~/.ssh/id_ed25519_sk -C "yubikey-work"
• 若系统识别多个FIDO2设备，可指定路径：-O device=/dev/hidraw2
• 如需强制PIN+触摸双重验证，加参数：-O verify-required
• 成功后生成两个文件：id_ed25519_sk（私钥，权限应为600）和 id_ed25519_sk.pub（公钥，内容以 sk-ssh-ed25519@openssh.com 开头）

部署公钥到Linux服务器

服务端几乎零配置，只需把公钥内容正确写入目标用户的 ~/.ssh/authorized_keys，并保证权限合规。

• 将 id_ed25519_sk.pub 文件内容（整行，不可换行、不可添加空格）追加到服务器上对应用户的 ~/.ssh/authorized_keys
• 确认权限：chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys
• 检查 /etc/ssh/sshd_config 中至少包含：PubkeyAuthentication yes（默认已启用）；无需设置 AuthorizedKeysCommand 或启用PAM模块
• 如修改过配置，执行 sudo systemctl reload sshd 即可，无需重启服务

连接测试与常见问题处理

首次连接会自动触发硬件验证，后续短时间（默认15分钟）内复用会话可跳过触摸。

• 标准连接命令：ssh -i ~/.ssh/id_ed25519_sk user@server-ip
• 为排除ssh-agent干扰，可临时禁用：ssh -o "IdentityAgent=none" -i ~/.ssh/id_ed25519_sk user@server-ip
• 提示 "invalid format"：检查公钥是否被意外换行或含多余字符；确认私钥权限不是644
• 提示 "no such identity"：确认私钥路径拼写正确，且未被加密（FIDO2密钥本身不加密，但不能套用传统passphrase）
• 无反应或超时：拔插密钥、换USB口；用 fido2-token -L 查看设备列表，确认系统识别