Reenvío de Agente SSH en iOS: NeoServer mantiene su clave privada de forma segura en el iPhone

Cualquiera que haya ejecutado git clone en un servidor remoto se ha encontrado con el mismo problema: ¿cómo se autentica esta máquina en GitHub? Las soluciones comunes son deficientes. Si copia la clave privada en el servidor, una vez que este se vea comprometido, todos sus recursos se enfrentarán al riesgo de una fuga de la clave privada. Si crea claves de implementación (deploy keys) únicas para cada repositorio, acabará sumido en el engorroso pantano de la gestión de claves. Si se conforma con usar HTTPS y un token de acceso personal (personal access token), dicho token se almacenará como texto plano en el archivo .git-credentials del disco.

El SSH agent forwarding (reenvío de agente SSH) es la solución perfecta a este problema, y NeoServer lo lleva de manera verdaderamente impecable a la plataforma iOS: su clave privada nunca abandona su iPhone, pero el servidor remoto puede "tomarla prestada" temporalmente para extraer código, enviar commits o saltar al siguiente host.

Qué hace realmente el SSH Agent Forwarding

Un agente SSH es un proceso que mantiene sus claves privadas descifradas en la memoria y responde a las solicitudes de autenticación en su nombre. El reenvío de agente (correspondiente al parámetro -A en la CLI de OpenSSH) extiende esta funcionalidad a escenarios de conexiones múltiples: cuando se conecta desde su iPhone a un servidor a través de SSH y activa el reenvío, el servidor obtiene un socket que transmite las solicitudes de autenticación de vuelta al agente en su teléfono.

El efecto práctico es el siguiente:

En el servidor remoto, ejecutar git clone [email protected]:you/private-repo.git simplemente funciona: la solicitud de autenticación de GitHub será respondida por la clave almacenada en su iPhone.
Ejecutar ssh production-db.internal desde un servidor bastión (bastion) también funciona, y no es necesario almacenar ninguna clave en el servidor bastión.
La clave privada en sí nunca aparece en el servidor remoto. No está en el disco, ni en la memoria (con excepción de la solicitud de reenvío de autenticación). Incluso si el servidor se ve comprometido mañana, el atacante no encontrará ninguna clave para robar.

Por qué esto es especialmente importante en iOS

En un portátil, puede usar ssh-agent, ~/.ssh/config y la memoria muscular acumulada a lo largo de los años. Pero en un teléfono, la mayoría de las aplicaciones SSH o no admiten el reenvío de agente en absoluto, o lo implementan de manera muy torpe, lo que obliga a las personas a recurrir a atajos inseguros, como pegar la clave en la terminal o almacenar tokens en archivos. NeoServer trata el reenvío de agente como una función central, no como un parche añadido a posteriori:

Solo necesita cargar su clave privada en NeoServer una vez. Se almacenará cifrada localmente en el dispositivo y protegida con Face ID / Touch ID.
Active el reenvío de agente para cada conexión de forma individual. Cuando establezca la conexión, NeoServer reenviará el agente integrado en la aplicación a la sesión remota.
Utilice git, scp y ssh en el servidor remoto igual que en su portátil: las credenciales reenviadas responderán a todas las solicitudes de autenticación de forma transparente.

Sesión típica: clonar un repositorio privado desde una máquina de desarrollo remota

Este es precisamente el flujo de trabajo que el reenvío de agente fue diseñado para resolver.

En su iPhone usando NeoServer, active el reenvío de agente y conéctese por SSH a su servidor de desarrollo.
En dicho servidor, ejecute git clone [email protected]:yourorg/infra.git. GitHub inicia una solicitud de autenticación; esta solicitud se reenvía de vuelta a la clave en su iPhone y se responde automáticamente.
La clonación del repositorio finaliza. Durante todo este proceso, su clave privada, la contraseña de GitHub o el token de acceso personal nunca se escribieron en el servidor de desarrollo.

El mismo principio se aplica a git pull, git push, a la comunicación con repositorios privados a través de SSH, y al salto a un segundo servidor. La información de autenticación de un solo teléfono, conectándose a innumerables servidores, con cero copias de claves.

Salto en cadena de hosts: de un bastión a la red interna

El reenvío de agente admite el uso combinado. Active el reenvío para conectarse a un servidor bastión, y luego conéctese desde el bastión a un host interno: la autenticación del host interno seguirá siendo respondida por la clave en su teléfono. Disfruta de la seguridad proporcionada por el bastión (los hosts internos no se exponen directamente al exterior) sin tener que asumir el coste de preconfigurar credenciales en el bastión, como suele ser necesario. NeoServer también es compatible con la configuración de Jump Server (servidor saltarín), por lo que el proceso en sí de "saltar a través de un bastión" puede guardarse como una única configuración de conexión.

Combinado con Mosh y tmux para un flujo de trabajo verdaderamente móvil

El reenvío de agente se ocupa de la seguridad de las credenciales; otras funciones de NeoServer se encargan de la estabilidad de la conexión:

Mosh mantiene viva la sesión durante las transiciones de red, por lo que un iPhone en movimiento no interrumpirá el canal reenviado.
tmux / zellij garantizan que su shell siga ejecutándose en el servidor. Las operaciones prolongadas de git clone o de despliegue seguirán ejecutándose incluso si el teléfono en su bolsillo entra en modo de reposo.
SFTP le permite explorar y editar los archivos recién clonados directamente en la aplicación, con resaltado de sintaxis y sin necesidad de cambiar de aplicación.

Precauciones de seguridad que deben quedar claras

La función de reenvío de agente es muy potente, pero una gran capacidad conlleva una regla de hierro: active esta función solo en los servidores en los que confíe. Mientras su sesión esté abierta, un servidor comprometido con el reenvío activado podría solicitar a su agente que se autentique en otros hosts. Precisamente por este motivo, NeoServer lo ha diseñado como un interruptor que se activa de forma independiente para cada conexión: utilícelo en su propio servidor de desarrollo y manténgalo desactivado en hosts compartidos o que no sean de confianza.
Su clave privada se almacena localmente en el iPhone y solo se sincroniza a través de su iCloud privado. NeoServer no contiene ningún sistema de analítica de terceros ni redes publicitarias, y la aplicación está protegida por el bloqueo de Face ID / Touch ID.
Combinando la autenticación de 2FA (autenticación de dos factores) y de clave privada, el reenvío de agente constituye junto con ellas un sistema de defensa multinivel: algo que usted posee (la clave en su teléfono), una capacidad que el servidor puede tomar prestada temporalmente (el agente reenviado) y un factor de verificación adicional en el momento de la conexión.

Público objetivo

Desarrolladores que necesitan extraer repositorios privados en máquinas de desarrollo remotas y servidores de CI
Ingenieros de operaciones que necesitan saltar a hosts internos a través de servidores bastión
Cualquiera que alguna vez se haya sentido tentado (por esta única vez) de transferir una clave privada por scp
Equipos que desean lograr una "retención cero de claves" en infraestructuras compartidas

Si en el pasado, al autenticarse desde un servidor remoto, siempre ha tenido que sacrificar la seguridad en favor de la comodidad (o viceversa), el reenvío de agente SSH elimina por completo esa concesión, y NeoServer hace que todo esto sea posible directamente en su iPhone. Busque NeoServer en el App Store o descárguelo directamente desde la App Store.