{"id":145,"date":"2017-04-05T21:00:03","date_gmt":"2017-04-06T00:00:03","guid":{"rendered":"https:\/\/www.linuxpro.com.br\/2017\/04\/ssh-sem-senha\/"},"modified":"2026-09-08T02:31:58","modified_gmt":"2026-09-08T05:31:58","slug":"ssh-sem-senha","status":"publish","type":"post","link":"https:\/\/www.linuxpro.com.br\/es\/2017\/04\/ssh-sem-senha\/","title":{"rendered":"Usando claves de autenticaci\u00f3n en SSH"},"content":{"rendered":"

\"Mascote<\/p>\n

Nota (2026):<\/strong> El howto de 2017 generaba RSA (ssh-keygen -t rsa<\/code>) y desactivaba la contrase\u00f1a con UsePAM no<\/code> + \/etc\/init.d\/ssh restart<\/code>. Hoy el default es Ed25519<\/strong>; PAM sigue activado; el drop-in va en sshd_config.d<\/code>; solo se corta la contrase\u00f1a despu\u00e9s de probar la clave en una segunda sesi\u00f3n.<\/div>\n

La contrase\u00f1a en SSH sigue cayendo ante fuerza bruta. El par de claves \u2014p\u00fablica en el servidor, privada en tu m\u00e1quina, protegida por passphrase\u2014 es el inicio de sesi\u00f3n de 2026. El OpenSSH de Ubuntu 24.04\/26.04 ya genera Ed25519 si llamas a ssh-keygen<\/code> sin flags (desde el 9.5). El resto son permisos, ssh-copy-id<\/code> y no quedarse fuera.<\/p>\n

<\/p>\n

Genera la clave en el cliente<\/h2>\n

Como su usuario, nunca como root:<\/p>\n

ssh-keygen -t ed25519 -a 64 -C \"$(whoami)@$(hostname)-2026\"\n<\/code><\/pre>\n
Acepte ~\/.ssh\/id_ed25519<\/code>. Ponga una passphrase de verdad \u2014 la clave privada sin frase es un inicio de sesi\u00f3n en un archivo. -a 64<\/code> aumenta las rondas KDF. Servidor antiguo que no habla Ed25519 (raro): ssh-keygen -t rsa -b 4096<\/code>. DSA est\u00e1 muerto en OpenSSH 7+.<\/p>\n
chmod 700 ~\/.ssh\nchmod 600 ~\/.ssh\/id_ed25519\nchmod 644 ~\/.ssh\/id_ed25519.pub\n<\/code><\/pre>\n
Instala la p\u00fablica en el servidor<\/h2>\n
ssh-copy-id<\/code> crea ~\/.ssh<\/code>, ajusta los permisos y a\u00f1ade la l\u00ednea en authorized_keys<\/code>:<\/p>\n
ssh-copy-id -i ~\/.ssh\/id_ed25519.pub usuario@servidor\n# porta n\u00e3o padr\u00e3o:\nssh-copy-id -i ~\/.ssh\/id_ed25519.pub -p 2222 usuario@servidor\n<\/code><\/pre>\n
Sin ssh-copy-id<\/code>:<\/p>\n
ssh usuario@servidor 'mkdir -p ~\/.ssh && chmod 700 ~\/.ssh'\ncat ~\/.ssh\/id_ed25519.pub | ssh usuario@servidor 'cat >> ~\/.ssh\/authorized_keys && chmod 600 ~\/.ssh\/authorized_keys'\n<\/code><\/pre>\n
Prueba antes<\/strong> de tocar el sshd<\/code>:<\/p>\n
ssh -i ~\/.ssh\/id_ed25519 -o IdentitiesOnly=yes usuario@servidor\n<\/code><\/pre>\n
Tiene que entrar sin la contrase\u00f1a de la cuenta (la passphrase de la clave, si la tiene, el agente la pregunta). Deje esa sesi\u00f3n abierta. Abra otra terminal para el endurecimiento.<\/p>\n
Desactive contrase\u00f1a \u2014 sin UsePAM no<\/h2>\n
En Ubuntu, UsePAM no<\/code> (el consejo de 2017) rompe otras rutas de PAM. Mantenga PAM. Use drop-in, no edite el sshd_config<\/code> entero:<\/p>\n
sudo tee \/etc\/ssh\/sshd_config.d\/99-keys-only.conf <<'EOF'\nPasswordAuthentication no\nKbdInteractiveAuthentication no\nPubkeyAuthentication yes\nPermitRootLogin prohibit-password\nEOF\nsudo sshd -t && sudo systemctl reload ssh\n<\/code><\/pre>\n
En RHEL\/Rocky el servicio es sshd<\/code>: sudo systemctl reload sshd<\/code>. Confirme en la sesi\u00f3n que qued\u00f3 abierta, y en una nueva<\/em>:<\/p>\n
ssh usuario@servidor\n<\/code><\/pre>\n
Si la nueva falla, la sesi\u00f3n anterior a\u00fan salva. No cierre la consola hasta que la clave funcione dos veces.<\/p>\n
Agente, config, clave f\u00edsica<\/h2>\n
ssh-agent<\/code> (o gnome-keyring) guarda la privada desbloqueada en la sesi\u00f3n gr\u00e1fica:<\/p>\n
eval \"$(ssh-agent -s)\"\nssh-add ~\/.ssh\/id_ed25519\n<\/code><\/pre>\n
Un ~\/.ssh\/config<\/code> evita flag:<\/p>\n
Host lab\n  HostName 192.0.2.10\n  User nilton\n  IdentityFile ~\/.ssh\/id_ed25519\n  IdentitiesOnly yes\n<\/code><\/pre>\n
YubiKey \/ FIDO2: ssh-keygen -t ed25519-sk<\/code> (OpenSSH 8.2+). La privada no sale del token. ssh-copy-id -i ~\/.ssh\/id_ed25519_sk.pub usuario@servidor<\/code>.<\/p>\n
Cierre<\/h2>\n
Ed25519, ssh-copy-id<\/code>, probar, solo entonces quitar la contrase\u00f1a. El diagrama de 2017 (cliente, sesi\u00f3n, claves) sigue siendo v\u00e1lido; el algoritmo y el init.d<\/code> no. P\u00e1gina de manual: man ssh-keygen<\/code>, man sshd_config<\/code>.<\/p>","protected":false},"excerpt":{"rendered":"
Senha no SSH ainda cai em brute-force. O par de chaves \u2014 p\u00fablica no servidor, privada na sua m\u00e1quina, protegida por passphrase \u2014 \u00e9 o login de 2026. O OpenSSH do Ubuntu 24.04\/26.04 j\u00e1 gera Ed25519 se voc\u00ea chamar ssh-keygen … Leer m\u00e1s<\/a><\/p>","protected":false},"author":0,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[2],"tags":[14,4],"class_list":["post-145","post","type-post","status-publish","format-standard","hentry","category-linux","tag-howto","tag-linux"],"_links":{"self":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/145","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/comments?post=145"}],"version-history":[{"count":4,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/145\/revisions"}],"predecessor-version":[{"id":1077,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/posts\/145\/revisions\/1077"}],"wp:attachment":[{"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/media?parent=145"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/categories?post=145"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.linuxpro.com.br\/es\/wp-json\/wp\/v2\/tags?post=145"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}