Certificados SSH explicados desde cero: entrar en tus máquinas sin repartir claves

La forma habitual de entrar en una máquina Linux en la nube es una clave SSH: un fichero en tu ordenador y su pareja pública copiada a la máquina. Funciona, pero fíjate en lo que implica cuando hay más de una persona y más de una máquina: cada clave hay que copiarla a cada máquina, cada persona que se va deja su clave en todas ellas hasta que alguien se acuerde de borrarla, y una clave perdida vale para siempre. ¿Sabes hoy, con certeza, cuántas claves pueden entrar en tu servidor de producción y de quién son?

Los certificados SSH resuelven exactamente eso. Es la misma tecnología que usa Simplio para su llave de repuesto y la misma que usa Lightsail para su consola web, y no hace falta ser un experto para entenderla.

Paso a paso

1. Entiende la diferencia con un ejemplo

   Con claves: para que Ana entre en diez máquinas, su clave pública se copia a diez ficheros. Cuando Ana se va, hay que borrarla de diez sitios, y si se olvida uno, Ana (o quien tenga su portátil) sigue entrando. Con certificados: las diez máquinas confían en una autoridad. A Ana se le firma un certificado que vale hasta el viernes. El sábado, Ana no entra en ninguna, sin tocar ni una máquina. Y si se le firma uno nuevo cada mañana, nunca hay nada que revocar.

2. Crea una autoridad (una vez, en tu ordenador)

   ssh-keygen -t ed25519 -f mi_ca -C "CA de mi empresa"

   Salen dos ficheros. mi_ca es la privada: guárdala en un gestor de contraseñas o en un disco cifrado, y nunca la copies a ninguna máquina. mi_ca.pub es la que irá a las máquinas.

3. Dile a la máquina que confíe en tu autoridad

   Hay dos formas. La global, en /etc/ssh/sshd_config, vale para todos los usuarios:

   TrustedUserCAKeys /etc/ssh/mi_ca.pub

   Y la local, sin tocar la configuración de SSH: una línea en el authorized_keys del usuario, que solo vale para él:

   cert-authority,principals="ubuntu" ssh-ed25519 AAAA... CA de mi empresa

   La segunda es la que conviene en Lightsail, porque Lightsail ya usa TrustedUserCAKeys para su propia consola web y solo puede haber una. Recarga SSH (sudo systemctl reload ssh) y la máquina ya acepta certificados tuyos.

4. Firma un certificado para una persona

   La persona te manda su clave pública (id_ed25519.pub). Tú la firmas, diciendo para qué usuario vale y cuánto dura:

   ssh-keygen -s mi_ca -I "ana-portatil" -n ubuntu -V +1w id_ed25519.pub

   Sale id_ed25519-cert.pub: se lo devuelves y lo pone junto a su clave. -I es un nombre para el registro de la máquina (así sabes quién entró), -n el usuario permitido y -V +1w una semana de validez. Puedes poner +5m y tendrás un certificado de cinco minutos.

5. Entra y comprueba

   ssh -i id_ed25519 ubuntu@IP.DE.LA.MAQUINA

   SSH usa el certificado solo. En la máquina, sudo journalctl -u ssh | grep ana-portatil te enseña la entrada con el nombre que pusiste al firmar. Pasada la validez, el mismo comando responde "Permission denied" sin que nadie haya tocado nada.

6. Añade condiciones: solo desde una IP

   Al firmar puedes añadir restricciones. La más útil: que el certificado solo valga desde una dirección concreta.

   ssh-keygen -s mi_ca -I "copias-nocturnas" -n backup -V +1d -O source-address=203.0.113.10 id_backup.pub

   Si ese certificado se filtra, desde cualquier otra IP no sirve. Es lo que hace la llave de repuesto de Simplio: certificados de cinco minutos, para un solo usuario, válidos solo desde la IP del servidor de Simplio.

Qué puede salir mal