Для чего нужны параметры ssh-keygen -D и -U? Как они используются со смарт-картами?

Question

На странице ssh-keygen перечислены следующие два параметра:

-D reader = Загрузить открытый ключ RSA, сохраненный на смарт-карте, в считыватель.

-U reader = Загрузить существующий закрытый ключ RSA в смарт-карту в считывателе.

Я не могу ничего узнать об этом после поиска вокруг. Поддерживают ли они стандартную пару ключей ssh_rsa на смарт-карте или работают с интерфейсом pkcs11 и сертификатами в формате x509. Связано ли это с сертификатами ssh и способно ли хранить на смарт-карте закрытый ключ подписи или закрытый ключ пользователя с сертификатом?

Короче, зачем мне использовать эти параметры?

Answer 1

Я думаю, что нашел информацию, которую искал, на более подробной странице руководства. Справочная страница находится здесь (справочная страница freebsd).

Похоже, параметры -D и -U взаимодействуют с устройством pkcs11, и эти параметры действительно работают с сертификатами ssh (через параметр -s). Используя их, можно иметь автономный, защищенный смарт-картой ключ подписи ssh ca (что и было моей первоначальной целью). Я не знаю, возможно ли пока иметь подписанный ключ пользователя на смарт-карте с этим процессом.

Я еще не пробовал ни одну из этих команд, но думаю, что это то, что я искал. Если все пойдет хорошо, это позволит мне настроить оффлайн ssh ca на yubikey neo.