Native Secure Enclave backed SSH keys on macOS
В macOS Tahoe появилась нативная поддержка SSH-ключей, хранимых в Secure Enclave, с защитой биометрией (Touch ID). Это заменяет сторонние проекты вроде Secretive. Библиотека /usr/lib/ssh-keychain.dylib реализует SecurityKeyProvider для прямого доступа к анклаву, аналогично FIDO2-устройствам (YubiKey).
Создать ключ: sc_auth create-ctk-identity -l ssh -k p-256-ne -t bio. Проверить: sc_auth list-ctk-identities (показывает хэш публичного ключа, тип p-256-ne, срок до 23.11.26) или -t ssh для отпечатков (SHA256:...). Удалить: sc_auth delete-ctk-identity -h <хэш>.
Для SSH: ssh-keygen -w /usr/lib/ssh-keychain.dylib -K -N "" скачивает пару ключей (sk-ecdsa-sha2-nistp256@openssh.com), запрашивая пустой PIN и Touch ID. Подробности в man sc_auth и man ssh-keychain.