{"id":123013,"date":"2025-03-26T16:22:56","date_gmt":"2025-03-26T14:22:58","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect"},"modified":"2025-03-26T16:22:56","modified_gmt":"2025-03-26T14:22:58","slug":"kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","title":{"rendered":"La compa\u00f1\u00eda Cloudflare ha publicado opkssh para la autenticaci\u00f3n en SSH a trav\u00e9s de OpenID Connect.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

La empresa Cloudflare ha presentado la herramienta opkssh (OpenPubkey SSH), que permite integrar en OpenSSH medios de autenticaci\u00f3n centralizados con la posibilidad de iniciar sesi\u00f3n a trav\u00e9s de proveedores de OpenID Connect. Con opkssh, se puede eliminar el trabajo manual de gesti\u00f3n y configuraci\u00f3n de claves SSH, as\u00ed como organizar la conexi\u00f3n al servidor desde cualquier host, sin necesidad de crear claves privadas en cada computadora cliente y sin copiar manualmente claves p\u00fablicas en el servidor. Para la conexi\u00f3n, solo es necesario vincular la cuenta al proveedor de OpenID en el servidor. El c\u00f3digo de la herramienta est\u00e1 escrito en el lenguaje Go y se distribuye bajo la licencia Apache 2.0. <\/p>\n

Opkssh es compatible con los proveedores de OpenID Google, Microsoft\/Azure y Gitlab, lo que permite configurar el inicio de sesi\u00f3n a trav\u00e9s de cuentas existentes en los servicios gmail.com, microsoft.com y gitlab.com. Al usar opkssh, en lugar de claves SSH sin limitaci\u00f3n temporal, se generan claves temporales, v\u00e1lidas solo por unas pocas horas y formadas en base a la confirmaci\u00f3n del proveedor de OpenID. La filtraci\u00f3n de estas claves despu\u00e9s de que expira su validez no representa una amenaza para la seguridad. Por defecto, la duraci\u00f3n de la clave es de 24 horas, tras las cuales es necesario volver a identificarse a trav\u00e9s de OpenID. <\/p>\n

La integraci\u00f3n con OpenSSH se basa en la capacidad de crear extensiones del protocolo SSH que permiten adjuntar datos arbitrarios a los certificados SSH. Despu\u00e9s de la autenticaci\u00f3n a trav\u00e9s de OpenID, el cliente genera una clave p\u00fablica que contiene un token PK que confirma la propiedad de la clave al usuario declarado. El token se integra en el protocolo SSH a trav\u00e9s de un campo de datos adicionales del certificado SSH. La creaci\u00f3n de tokens PK y su verificaci\u00f3n en el servidor se lleva a cabo utilizando el protocolo criptogr\u00e1fico OpenPubKey. <\/p>\n

OpenPubKey permite generar una clave p\u00fablica y vincularla a un token emitido por un proveedor de OpenID. A trav\u00e9s de la firma digital, el proveedor verifica que esta clave ha sido creada por el usuario autenticado declarado. Por ejemplo, el proveedor de OpenID Google puede confirmar que el usuario est\u00e1 autenticado como test@gmail.com. En el lado del servidor, se verifica si el token adjunto ha sido firmado por el proveedor de OpenID y si la firma digital corresponde a la clave p\u00fablica declarada, es decir, el servidor puede asegurarse de que el usuario test@gmail.com cre\u00f3 la clave p\u00fablica para el cliente SSH que se ha conectado.

\"La<\/center> <\/p>\n

La integraci\u00f3n con OpenSSH se organiza mediante la especificaci\u00f3n del programa opkssh en el archivo de configuraci\u00f3n \u00absshd_config\u00bb a trav\u00e9s de la directiva \u00abAuthorizedKeysCommand\u00bb (por ejemplo: \u00abAuthorizedKeysCommand \/usr\/local\/bin\/opkssh verify %u %k %t\u00bb). La configuraci\u00f3n de la vinculaci\u00f3n de cuentas con OpenID se realiza del lado del servidor SSH. No se requieren cambios en la configuraci\u00f3n del lado del cliente SSH, pero antes de iniciar sesi\u00f3n, es necesario ejecutar el comando \u00abopkssh login\u00bb y en la ventana del navegador que aparece, seleccionar el proveedor de OpenID y realizar la autenticaci\u00f3n a trav\u00e9s de \u00e9l. <\/p>\n

La utilidad opkssh generar\u00e1 claves SSH y obtendr\u00e1 un token PK que confirma que el usuario ha sido autenticado y permite verificar que las claves generadas pertenecen al usuario declarado. La clave p\u00fablica SSH, a la que se adjunta el token PK a trav\u00e9s del campo de datos adicionales, se registrar\u00e1 en el archivo ~\/.ssh\/id_ecdsas y comenzar\u00e1 a transmitirse al conectarse con servidor<\/a> la utilidad ssh. <\/p>\n

La conexi\u00f3n al servidor se realiza utilizando el esquema est\u00e1ndar para SSH \u00abssh login@servidor\u00bb, y en este caso, en servidor<\/a> el inicio de sesi\u00f3n debe estar previamente asociado con la cuenta en OpenID que utiliza el usuario. As\u00ed, la operaci\u00f3n se reduce a que el cliente SSH env\u00eda la clave p\u00fablica al servidor SSH, y el servidor ejecuta el comando \u00abopkssh verify\u00bb para verificar la clave. <\/p>\n

Para vincular una cuenta a OpenID, el administrador del servidor ejecuta el comando \u00abopkssh add\u00bb. Por ejemplo, para permitir el acceso al servidor como el usuario \u00abroot\u00bb con autenticaci\u00f3n OpenID a trav\u00e9s de la cuenta test@gmail.com en Gmail, se debe ejecutar \u00absudo opkssh add root test@gmail.com google\u00bb, tras lo cual el cliente podr\u00e1 conectarse con los par\u00e1metros de esta cuenta mediante el comando \u00abssh root@host_servidor\u00bb. <\/p>\n

La vinculaci\u00f3n de cuentas tambi\u00e9n se puede realizar manualmente a trav\u00e9s del archivo de configuraci\u00f3n \/etc\/opk\/auth_id (o ~\/.opk\/auth_id), en el cual para el ejemplo anterior se escribir\u00e1 la l\u00ednea \u00abroot test@gmail.com https:\/\/accounts.google.com\u00bb. Adicionalmente, a trav\u00e9s del archivo \/etc\/opk\/providers se puede definir la lista de proveedores OpenID permitidos, sus par\u00e1metros y la lista de identificadores de clientes autorizados.

\"La<\/center>
\n
Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect. \u041f\u0440\u0438 \u043f\u043e\u043c\u043e\u0449\u0438 opkssh \u043c\u043e\u0436\u043d\u043e \u0438\u0437\u0431\u0430\u0432\u0438\u0442\u044c\u0441\u044f \u043e\u0442 \u0440\u0443\u0447\u043d\u043e\u0439 \u0440\u0430\u0431\u043e\u0442\u044b \u043f\u043e \u0443\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u0438\u044e \u0438 \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 SSH-\u043a\u043b\u044e\u0447\u0435\u0439, \u0430 \u0442\u0430\u043a\u0436\u0435 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u043e\u0432\u0430\u0442\u044c \u043f\u043e\u0434\u043a\u043b\u044e\u0447\u0435\u043d\u0438\u0435 \u043a \u0441\u0435\u0440\u0432\u0435\u0440\u0443 \u0441 \u043b\u044e\u0431\u044b\u0445 \u0445\u043e\u0441\u0442\u043e\u0432, \u0431\u0435\u0437 \u043d\u0435\u043e\u0431\u0445\u043e\u0434\u0438\u043c\u043e\u0441\u0442\u0438 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f \u0437\u0430\u043a\u0440\u044b\u0442\u044b\u0445 \u043a\u043b\u044e\u0447\u0435\u0439 \u043d\u0430 \u043a\u0430\u0436\u0434\u043e\u043c \u043a\u043b\u0438\u0435\u043d\u0442\u0441\u043a\u043e\u043c \u043a\u043e\u043c\u043f\u044c\u044e\u0442\u0435\u0440\u0435 \u0438 \u0431\u0435\u0437 \u0440\u0443\u0447\u043d\u043e\u0433\u043e […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":123014,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-123013","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47La empresa Cloudflare public\u00f3 opkssh para la autenticaci\u00f3n en SSH a trav\u00e9s de OpenID Connect | ProHoster","description":"La empresa Cloudflare ha presentado la herramienta opkssh (OpenPubkey SSH), que permite integrar m\u00e9todos de autenticaci\u00f3n centralizada en OpenSSH con la posibilidad de iniciar sesi\u00f3n a trav\u00e9s de proveedores OpenID Connect.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043e\u043f\u0443\u0431\u043b\u0438\u043a\u043e\u0432\u0430\u043b\u0430 opkssh \u0434\u043b\u044f \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0432 SSH \u0447\u0435\u0440\u0435\u0437 OpenID Connect | ProHoster","og:description":"\u041a\u043e\u043c\u043f\u0430\u043d\u0438\u044f Cloudflare \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u0438\u043b\u0430 \u0438\u043d\u0441\u0442\u0440\u0443\u043c\u0435\u043d\u0442\u0430\u0440\u0438\u0439 opkssh (OpenPubkey SSH), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u043d\u0442\u0435\u0433\u0440\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0432 OpenSSH \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0446\u0435\u043d\u0442\u0440\u0430\u043b\u0438\u0437\u043e\u0432\u0430\u043d\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0432\u043e\u0437\u043c\u043e\u0436\u043d\u043e\u0441\u0442\u044c\u044e \u0432\u0445\u043e\u0434\u0430 \u0447\u0435\u0440\u0435\u0437 \u043f\u0440\u043e\u0432\u0430\u0439\u0434\u0435\u0440\u043e\u0432 OpenID Connect.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/kompaniya-cloudflare-opublikovala-opkssh-dlya-autentifikaczii-v-ssh-cherez-openid-connect","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2025-03-26T14:22:58+00:00","article:modified_time":"2025-03-26T14:22:58+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"123013","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":"default","schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-09 22:07:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2026-01-23 11:38:16","updated":"2026-02-09 22:07:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123013","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=123013"}],"version-history":[{"count":2,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123013\/revisions"}],"predecessor-version":[{"id":160229,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/123013\/revisions\/160229"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media\/123014"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=123013"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=123013"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=123013"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}