Autenticación

DR-Terminal admite tres métodos de autenticación: contraseña, clave privada y llave de seguridad FIDO2 (YubiKey).

Contraseña

La vía más sencilla. Una contraseña introducida en una conexión guardada acaba en el almacén seguro de la plataforma, nunca en la configuración JSON. Si el campo de contraseña está vacío, la app la pide cada vez que conectas.

Recurso a contraseña tras clave pública: cuando el servidor rechaza una clave pública (p. ej. no está en authorized_keys), DR-Terminal pide automáticamente la contraseña del mismo usuario en lugar de abandonar la conexión.

Clave privada

Se admite el formato PEM (OpenSSH). Puedes:

• Pegar la clave directamente en el formulario de conexión.
• Usar el gestor de claves (Ajustes → Seguridad → Claves SSH) y seleccionar una clave guardada.

Si la clave está cifrada con una frase de contraseña, DR-Terminal la pide al conectar. Admitimos muchos algoritmos: RSA, ECDSA (P-256, P-384, P-521), Ed25519, Ed25519-SK, ECDSA-SK (FIDO).

Generador de claves

Ajustes → Seguridad incluye un asistente Generar clave SSH. Elige el tipo (p. ej. ed25519), define una frase de contraseña (opcional: protege la clave incluso dentro del almacén seguro) y la clave se guarda localmente. El comentario de clave por defecto es ${user}@${host}@DR-Terminal, práctico para identificar la clave en el servidor. La clave pública se puede copiar al portapapeles para ~/.ssh/authorized_keys en el servidor.

Las claves de la lista se pueden renombrar en el momento; si el nombre que eliges coincide con uno existente, la app añade (2) automáticamente.

Windows Hello: en Windows el generador de claves invoca el diálogo nativo de Windows Hello (PIN / huella / rostro) en lugar de un diálogo dentro de la app; la frase de contraseña queda entonces respaldada por TPM.

Conversor de claves

Ajustes → Seguridad → Claves SSH → Convertir vuelve a serializar una clave privada entre todos los formatos habituales: elige un origen (una clave guardada, un archivo o texto pegado) y un formato de destino, y luego copia, comparte o guarda el resultado.

Formatos, en ambos sentidos:

Formato	Lectura	Escritura
OpenSSH (BEGIN OPENSSH PRIVATE KEY)	✓	✓
PKCS#8 (BEGIN PRIVATE KEY)	✓	✓
PKCS#1 (BEGIN RSA PRIVATE KEY, solo RSA)	✓	✓
PuTTY PPK — v2 y v3	✓	✓

La entrada puede ser PEM (texto), PuTTY PPK o DER binario en bruto: el formato se detecta automáticamente. Tipos de clave: RSA, Ed25519 y ECDSA (P-256/384/521).

• La exportación a PuTTY PPK ahora funciona en ambos sentidos (antes la app solo podía leer .ppk). Elige v3 (Argon2id KDF + HMAC-SHA-256, PuTTY moderno) o v2 (PuTTY antiguo) con el selector de versión. Los archivos producidos así se cargan en PuTTY/puttygen sin cambios.
• Frase de contraseña de exportación opcional. Déjala en blanco para una clave sin cifrar; defínela y la salida se cifra con una KDF fuerte por formato (bcrypt / PBKDF2 / Argon2id). Consulta Seguridad y datos → Claves exportadas.
• Si la conversión falla (frase de contraseña de origen incorrecta, formato incompatible), la app ahora muestra el motivo real en lugar de un error genérico.

PKCS#1 solo describe claves RSA, por lo que ese destino solo se ofrece cuando el origen es una clave RSA.

Llave de seguridad (FIDO2 / YubiKey)

DR-Terminal maneja claves ed25519-sk y ecdsa-sk, y puedes generarlas desde dentro de la app. No hace falta ssh-keygen externo.

Generar una clave respaldada por YubiKey en DR-Terminal

1. Ajustes → Seguridad → Claves SSH → Generar clave SSH.
2. Activa el interruptor de Llave de seguridad. Elige el algoritmo: Ed25519-SK (recomendado) o ECDSA-SK.
3. Toca tu YubiKey cuando se te pida. La app pide al token que cree una nueva credencial y firma la clave pública.
4. La clave se guarda en el gestor de claves de DR-Terminal. Copia la clave pública y pégala en ~/.ssh/authorized_keys en el servidor de destino.

Las claves residentes (almacenadas en la propia YubiKey) eliminan la necesidad de llevar el archivo de clave: todo el secreto vive en el token. El generador ofrece esto como opción.

Usar una clave SK existente

Si ya tienes una id_ed25519_sk / id_ecdsa_sk generada en otro sitio (p. ej. con ssh-keygen -t ed25519-sk), impórtala desde el mismo gestor de claves: DR-Terminal trata las claves SK importadas y generadas de la misma manera.

Al conectar

DR-Terminal solicita un toque en tu llave. El indicador parpadea: tócala. iOS admite NFC y USB-C (YubiKey 5Ci y posteriores). Android: NFC + USB (OTG). El escritorio usa las APIs nativas de FIDO2 (Windows Hello, macOS, Linux mediante libfido2).