{"id":52210,"date":"2019-11-03T00:00:00","date_gmt":"2019-11-02T21:00:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/blog_prohoster\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii"},"modified":"2020-02-18T13:59:53","modified_gmt":"2020-02-18T10:59:53","slug":"v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","title":{"rendered":"OpenSSH ha a\u00f1adido soporte para autenticaci\u00f3n de dos factores universal.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

En la base de c\u00f3digo de OpenSSH se ha a\u00f1adido<\/a><\/noindex> se ha a\u00f1adido soporte experimental para la autenticaci\u00f3n de dos factores utilizando dispositivos que cumplen con el protocolo U2F<\/a><\/noindex>, desarrollado por la alianza FIDO<\/a><\/noindex>. U2F permite crear tokens de hardware baratos para confirmar la presencia f\u00edsica del usuario, que interact\u00faan a trav\u00e9s de USB, Bluetooth o NFC. Estos dispositivos se promueven como un medio para la autenticaci\u00f3n de dos factores en sitios web, ya son compatibles con los principales navegadores y son fabricados por varias empresas, incluyendo Yubico, Feitian, Thetis y Kensington.<\/p>\n

Para interactuar con dispositivos que confirmen la presencia del usuario, se ha a\u00f1adido un nuevo tipo de clave en OpenSSH: \u00absk-ecdsa-sha2-nistp256@openssh.com\u00bb (\u00abecdsa-sk\u00bb), que utiliza el algoritmo de firma digital ECDSA (Elliptic Curve Digital Signature Algorithm) con la curva el\u00edptica NIST P-256 y el hash SHA-256. Los procedimientos de interacci\u00f3n con los tokens se han trasladado a una biblioteca intermedia, que se carga de forma an\u00e1loga a la biblioteca para soportar PKCS#11 y act\u00faa como un wrapper sobre la biblioteca. libfido2<\/a><\/noindex>, que proporciona medios para la comunicaci\u00f3n con los tokens a trav\u00e9s de USB (soporta los protocolos FIDO U2F\/CTAP 1 y FIDO 2.0\/CTAP 2). La biblioteca intermedia libsk-libfido2 preparada por los desarrolladores de OpenSSH incluida<\/a><\/noindex> est\u00e1 integrada en libfido2, al igual que el controlador HID<\/a><\/noindex> para OpenBSD.<\/p>\n

Para habilitar U2F, se puede usar la \u00faltima versi\u00f3n de la base de c\u00f3digo de [istio-mastery]<\/a><\/noindex> OpenSSH y la rama HEAD de la biblioteca libfido2<\/a><\/noindex>, que ya incluye la capa necesaria para OpenSSH.
\nLibfido2 admite la operaci\u00f3n en OpenBSD, Linux, macOS y Windows. <\/p>\n

Para la autenticaci\u00f3n y generaci\u00f3n de clave, es necesario establecer la variable de entorno SSH_SK_PROVIDER, indicando el camino hacia libsk-libfido2.so (export SSH_SK_PROVIDER=\/path\/to\/libsk-libfido2.so), o definir la biblioteca a trav\u00e9s de la configuraci\u00f3n SecurityKeyProvider, tras lo cual se debe ejecutar \u00abssh-keygen -t ecdsa-sk\u00bb o, si las claves ya est\u00e1n creadas y configuradas, conectarse al servidor utilizando \u00abssh\u00bb. Al ejecutar ssh-keygen, el par de claves creado se guardar\u00e1 en \u00ab~\/.ssh\/id_ecdsa_sk\u00bb y puede utilizarse de manera similar a otras claves. <\/p>\n

La clave p\u00fablica (id_ecdsa_sk.pub) debe copiarse en el servidor en el archivo authorized_keys. En el lado del servidor, solo se verifica la firma digital, y la interacci\u00f3n con los tokens se realiza en el lado del cliente (no es necesario instalar libsk-libfido2 en el servidor, pero este debe soportar el tipo de claves \u00abecdsa-sk\u00bb). La clave privada generada (id_ecdsa_sk) es esencialmente un descriptor de clave, que forma la clave real \u00fanicamente en combinaci\u00f3n con una secuencia secreta almacenada en el token U2F.<\/p>\n

Si el clave id_ecdsa_sk cae en manos de un atacante, tambi\u00e9n necesitar\u00e1 acceder al token hardware para completar la autenticaci\u00f3n, sin el cual la clave privada almacenada en el archivo id_ecdsa_sk es in\u00fatil. Adem\u00e1s, por defecto, se requiere una confirmaci\u00f3n local de la presencia f\u00edsica del usuario al realizar cualquier operaci\u00f3n con las claves (tanto al generarlas como al autenticar), por ejemplo, se solicita tocar el sensor en el token, lo que dificulta los ataques remotos en sistemas con el token conectado. Como otra medida de protecci\u00f3n, en la etapa de inicio de ssh-keygen se puede establecer una contrase\u00f1a para acceder al archivo con la clave. <\/p>\n

La clave U2F puede a\u00f1adirse al ssh-agent mediante \u00abssh-add ~\/.ssh\/id_ecdsa_sk\u00bb, pero el ssh-agent debe compilarse con soporte para claves \u00abecdsa-sk\u00bb, debe existir una capa libsk-libfido2 y el agente debe ejecutarse en el sistema al que se conecta el token.
\nSe ha a\u00f1adido un nuevo tipo de claves \u00abecdsa-sk\u00bb ya que el formato de claves ecdsa de OpenSSH difiere del formato U2F para firmas digitales ECDSA debido a la presencia de campos adicionales.<\/p>\n

<\/a><\/noindex><\/p>\n

Fuente: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432, \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b U2F, \u0440\u0430\u0437\u0432\u0438\u0432\u0430\u0435\u043c\u044b\u0439 \u0430\u043b\u044c\u044f\u043d\u0441\u043e\u043c FIDO. U2F \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u0435\u0442 \u0441\u043e\u0437\u0434\u0430\u0432\u0430\u0442\u044c \u043d\u0435\u0434\u043e\u0440\u043e\u0433\u0438\u0435 \u0430\u043f\u043f\u0430\u0440\u0430\u0442\u043d\u044b\u0435 \u0442\u043e\u043a\u0435\u043d\u044b \u0434\u043b\u044f \u043f\u043e\u0434\u0442\u0432\u0435\u0440\u0436\u0434\u0435\u043d\u0438\u044f \u0444\u0438\u0437\u0438\u0447\u0435\u0441\u043a\u043e\u0433\u043e \u043f\u0440\u0438\u0441\u0443\u0442\u0441\u0442\u0432\u0438\u044f \u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u0435\u043b\u044f, \u0432\u0437\u0430\u0438\u043c\u043e\u0434\u0435\u0439\u0441\u0442\u0432\u0438\u0435 \u0441 \u043a\u043e\u0442\u043e\u0440\u044b\u043c\u0438 \u043f\u0440\u043e\u0438\u0437\u0432\u043e\u0434\u0438\u0442\u0441\u044f \u0447\u0435\u0440\u0435\u0437 USB, Bluetooth \u0438\u043b\u0438 NFC. \u041f\u043e\u0434\u043e\u0431\u043d\u044b\u0435 \u0443\u0441\u0442\u0440\u043e\u0439\u0441\u0442\u0432\u0430 \u043f\u0440\u043e\u0434\u0432\u0438\u0433\u0430\u044e\u0442\u0441\u044f \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430 \u0434\u043b\u044f \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u043d\u0430 \u0441\u0430\u0439\u0442\u0430\u0445, \u0443\u0436\u0435 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u043e\u0441\u043d\u043e\u0432\u043d\u044b\u043c\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u0430\u043c\u0438 \u0438 \u0432\u044b\u043f\u0443\u0441\u043a\u0430\u044e\u0442\u0441\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-52210","post","type-post","status-publish","format-standard","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Se ha a\u00f1adido soporte para autenticaci\u00f3n universal de dos factores en OpenSSH | ProHoster","description":"Se ha a\u00f1adido soporte experimental para autenticaci\u00f3n de dos factores utilizando en el c\u00f3digo base de OpenSSH.","canonical_url":"https:\/\/prohoster.info\/es\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"es_ES","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0412 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0430\u043b\u044c\u043d\u043e\u0439 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 | ProHoster","og:description":"\u0412 \u043a\u043e\u0434\u043e\u0432\u0443\u044e \u0431\u0430\u0437\u0443 OpenSSH \u0434\u043e\u0431\u0430\u0432\u043b\u0435\u043d\u0430 \u044d\u043a\u0441\u043f\u0435\u0440\u0438\u043c\u0435\u043d\u0442\u0430\u043b\u044c\u043d\u0430\u044f \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u043a\u0430 \u0434\u0432\u0443\u0445\u0444\u0430\u043a\u0442\u043e\u0440\u043d\u043e\u0439 \u0430\u0443\u0442\u0435\u043d\u0442\u0438\u0444\u0438\u043a\u0430\u0446\u0438\u0438 \u0441 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435\u043c.","og:url":"https:\/\/prohoster.info\/es\/blog\/news\/v-openssh-dobavlena-podderzhka-universalnoj-dvuhfaktornoj-autentifikatsii","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-11-02T21:00:00+00:00","article:modified_time":"2020-02-18T10:59:53+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"52210","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-01-24 02:52:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 20:47:23","updated":"2026-01-24 02:52:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/52210","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/comments?post=52210"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/posts\/52210\/revisions"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/media?parent=52210"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/categories?post=52210"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/es\/wp-json\/wp\/v2\/tags?post=52210"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}