Saltar al contenido

Configurando un acceso SSH más seguro

La autenticación con clave pública para conectarse a un servidor remoto usando el protocolo SSH funciona con dos claves: una pública y otra privada. Para entender el funcionamiento se suele recurrir a la metáfora del candado y la llave. La clave pública funciona como un candado y la privada como la llave. El candado se colocará en el servidor remoto al que se quiere acceder; cuando se intenta acceder se comprobará que la máquina que intenta conectar tiene la llave, la clave privada.

Para configurar el acceso SSH con clave pública hay que:

  • Generar el par de claves pública/privada.
  • Copiar la clave pública al servidor.
  • Deshabilitar el acceso al servidor con contraseña.

Cómo generar el par de claves pública/privada

Para generar las claves se puede usar ssh-keygen en la máquina local desde la que se quiere conectar con el servidor:

ssh-keygen pide la ruta y el nombre del archivo que alojará las claves pública y privada. Se puede guardar donde se quiera, pero la carpeta debe tener permisos 700 y el archivo con la clave privada 600. De lo contrario la conexión no se establecerá. La clave privada se puede proteger a su vez con una contraseña. De esta manera, si cae en manos no deseadas, lo tendrá un poco más difícil para usarla.

ssh-keygen generará dos archivos:

  • id_rsa es la clave privada, la que permanecerá en la máquina local.
  • id_rsa.pub es la clave pública, la que se tiene que copiar al servidor remoto al que se quiere acceder.

Copiar la clave pública al servidor

Una vez generado el par de claves en la máquina local hay que copiar la clave pública al servidor remoto:

La clave pública hay que incluirla en el archivo /home/user/.ssh/authorized_keys. Si la carpeta .ssh no existe, la creamos antes de copiar, así como el archivo authorized_keys:

Por último copiamos la clave y borramos el archivo copiado al servidor:

Deshabilitar el acceso al servidor con contraseña

Una vez habilitado el acceso SSH mendiante clave pública, se puede deshabilitar el acceso con contraseña. Esto aumentará la seguridad, pero implica que si se pierde la clave privada se perderá el acceso al servidor: hay que guardar cuidadosamente la clave privada.

La configuración del servidor SSH se puede encontrar en el archivo /etc/ssh/sshd_config. Para deshabilitar el acceso SSH con contraseña hay que añadir la siguiente línea, editando el archivo como root:

Para aumentar la seguridad se pueden hacer dos ajustes adicionales en el archivo /etc/ssh/sshd_config:

Desactivar el acceso ssh para el usuario root:

Dar acceso SSH solo a los usuarios que lo necesiten, y no a todos:

Una vez realizados los cambios, hay que reiniciar el servidor SSH, siempre como root:

Acceder al servidor con clave pública

Para conectarse al servidor con clave pública en vez de contraseña:

Podemos especificar la clave privada a usar con la opción -i: