Ouvrez SSH (ou Ctrl+Shift+S) et saisissez un hôte ; le champ accepte aussi user@host:port.
Authentification : mot de passe, fichier de clé privée (~/ est développé, phrase secrète facultative) ou l'agent SSH en cours d'exécution (SSH_AUTH_SOCK).
Les connexions par mot de passe (onglets de terminal, SFTP, tunnels, hôtes de rebond et connexion Mosh) essaient d'abord vos clés, comme OpenSSH : les clés de l'agent SSH, puis les fichiers par défaut ~/.ssh/id_ed25519, ~/.ssh/id_ecdsa et ~/.ssh/id_rsa, 5 clés au maximum au total. Seuls les fichiers non chiffrés sont essayés ; un fichier protégé par une phrase secrète est ignoré sans rien demander, sauf si l'agent le détient. Le mot de passe n'est envoyé que lorsque le serveur refuse toutes les clés. Si le serveur ferme la connexion après trop de clés refusées, PlexusTerm se reconnecte une fois et n'essaie que le mot de passe. Lorsqu'une clé permet la connexion, un mot de passe saisi n'est jamais vérifié ; il n'est donc pas enregistré dans le trousseau.
Les clés d'hôte sont vérifiées par rapport à ~/.ssh/known_hosts, comme avec OpenSSH :
- une clé connue et correspondante se connecte directement ;
- un hôte inconnu affiche son empreinte SHA256 et n'est enregistré qu'après avoir choisi Faire confiance et se connecter ; si des clés d'un autre type sont déjà enregistrées pour cet hôte, la boîte de dialogue le signale (le serveur a peut-être changé de type de clé) ;
- une clé différente de celle enregistrée est toujours refusée. Supprimez l'ancienne entrée avec
ssh-keygen -R <host>si le changement est attendu.
Limites connues de l'analyseur de known_hosts (russh) : les marqueurs @revoked / @cert-authority et les motifs génériques ne sont pas pris en charge, et les noms d'hôte sont comparés en respectant la casse ; dans ces cas, vous obtenez la demande pour hôte inconnu au lieu d'une connexion silencieuse.