SSH y la cerradura de clave pública

La autenticación asimétrica en SSH se comprende con una analogía física: la clave pública es el candado (puedes hacer cien copias y repartirlas por todos los servidores que quieras abrir). La clave privada es la llave física exclusiva (debe quedarse para siempre guardada en tu máquina personal protegida con contraseña). Quien tenga el candado no puede abrir nada; solo quien posee la llave que encaja puede firmar el desafío criptográfico y entrar al servidor.

Históricamente se usaban claves RSA de 2048 o 4096 bits. El estándar moderno recomendado es Ed25519 (basado en la curva de Edwards Curve25519): genera firmas ultrarrápidas, es inmune a ataques de canal lateral y utiliza claves cortas de apenas 68 caracteres. Para generarla en la terminal se ejecuta: ssh-keygen -t ed25519 -C '[email protected]'. El comando crea dos archivos en tu carpeta ~/.ssh/: id_ed25519 (privada) y id_ed25519.pub (pública).

Para autorizar a tu máquina a entrar al servidor sin contraseña, el contenido de tu clave pública (id_ed25519.pub) debe añadirse al archivo ~/.ssh/authorized_keys del usuario en el servidor remoto. Esto se realiza en un solo paso con la utilidad ssh-copy-id usuario@servidor o pegando la línea a mano. Si los permisos de la carpeta .ssh (700) o del archivo authorized_keys (600) son demasiado abiertos, el demonio SSH rechazará la conexión por seguridad.

Una vez verificado que el acceso con clave funciona, el paso obligatorio de bastionado en el archivo /etc/ssh/sshd_config consiste en establecer: PasswordAuthentication no y PermitRootLogin no, reiniciando el servicio con systemctl restart sshd. Con esta configuración, cualquier intento de un bot de internet por adivinar contraseñas con ataques de fuerza bruta en el puerto 22 es rechazado al instante sin procesar credenciales.