Hacer que mi clave SSH protegida por contraseña caduque o se agote después de un tiempo

Hay que fijar la duración de la llave. Por lo general, el valor predeterminado es "para siempre".

Cuando se ejecuta ssh-add desea utilizar el -t opción. Si desea una duración de la llave de una hora, entonces es ssh-add -t 1h . Los formatos de tiempo se pueden ver en el sshd_config pero en pocas palabras son un número seguido de s, m, h, d, o w para segundos, minutos, horas, días o semanas.

ssh-add se puede poner en su archivo .bashrc y sólo le pedirá que valide la clave una vez. Incluso cuando la clave "expira" no se elimina - sólo pide la frase de contraseña de nuevo cuando se intenta utilizarla.

La otra opción sería modificar las opciones de lanzamiento de ssh-agent que se almacenan en /System/Library/LaunchAgents/org.openbsd.ssh-agent.plist y añadir el -t allí. (Yo uso LaunchControl para cambiarlas, pero puedes hacerlo a mano si tienes cuidado).

En lugar de ajustar ssh-agent (que ahora requiere cantidades tontas de hacking), recomiendo encarecidamente cambiar la configuración de su llavero por defecto (de inicio de sesión). Yo utilizo el muy útil 'bloquear al dormir' así como 'bloquear después de 4 horas' porque no quiero avisos a menos que esté realmente afk.

Abra Keychain Access y haga clic con el botón derecho en el llavero de inicio de sesión para cambiar la configuración:

O si prefieres una línea de comandos:

security set-keychain-settings -lu -t 14400

Esto resultará en al menos un aviso extra para desbloquear el llavero en sí mismo (requiriendo su contraseña de inicio de sesión), así como el aviso para cualquier llave que esté tratando de usar... pero es mejor que deshabilitar la Protección de Integridad del Sistema IMO.

Otra solución es:

ssh-add -t <time> <ssh-private-key>  # Set maximum lifetime to your SSH priv key.
killall ssh-agent                    # Kill all ssh-agent processes.
ssh-add -D                           # Delete all identities recorded by the agent.

Con esta solución, no tienes que elegir un tiempo de espera para todo tu llavero - bastante molesto cuando quieres establecer un tiempo de espera de algunos segundos para la grabación de tu clave privada - y no tienes que desactivar tu SIP para editar /System/Library/LaunchAgents/org.openbsd.ssh-agent.plist.