YubiKey 硬件加密 age 密钥

解决什么问题

当 agent 需要处理 age 密钥时，传统做法往往依赖软件生成的密钥文件。密钥一旦落盘、被复制或被其他进程读取，攻击面就会扩大；自动化任务也更难证明私钥确实由预期主体持有。这个技能面向需要把 age 加密/解密绑定到实体 YubiKey 的场景，让密钥操作依赖硬件身份，而不是仅依赖磁盘上的软件密钥。

技能如何工作

核心是 age-plugin-yubikey：agent 在需要 age 密钥封装或解封时调用该插件，把 YubiKey 作为身份验证和密钥操作的硬件边界。关键链路如下：

• 先确认环境具备 age、age-plugin-yubikey，以及已经配置好支持凭据的 YubiKey。
• agent 将 age 密钥操作交给插件处理，而不是自行管理软件私钥。
• 插件使用 YubiKey 支持的凭据完成硬件身份验证，使 age 密钥与物理设备绑定。
• 解密或封装 age 密钥时，必须由持有对应 YubiKey 的一方完成。

适用边界与注意点

它适合本地有 YubiKey 的自动化 agent，尤其是需要把 age 密钥操作绑定到实体身份、降低软件密钥泄露风险的场景。边界是：需要物理插入并认证 YubiKey；依赖 age-plugin-yubikey 与设备凭据兼容性；不能替代密钥备份、访问控制或 YubiKey 丢失后的恢复流程；在无硬件、设备不兼容或凭据不可用时，应回退到其他密钥策略而不是强行使用。