SSH dietro una chiave FIDO2 — e una console con assistente IA
La porta SSH resta chiusa per tutti finché non tocchi la chiave. Una volta aperta, lavori in una console che digita da sola le password salvate, tiene i comandi frequenti a portata di clic e suggerisce i successivi: l'assistente IA trasforma un compito in comandi e, con il tuo permesso, legge ciò che mostra il terminale.
Dalla versione 1.24. La console fa parte del client, anche nella versione gratuita.
La porta SSH resta chiusa fino al tocco della chiave
Il gateway su Linux chiude la porta 22 (e qualsiasi altra porta TCP) esattamente come chiude RDP. Confermi con una chiave FIDO2 o con un codice monouso e la porta si apre per 90 secondi, solo per il tuo indirizzo. Gli scanner e gli attacchi a forza bruta vedono una porta chiusa.
Una console che ricorda password e comandi
Il riquadro «SSH console» (Console SSH) apre un terminale con un pannello laterale. La password di sudo viene digitata con un clic oppure da sola, quando compare la relativa richiesta; i comandi frequenti si avviano da un elenco, specifico per il server o comune a tutte le sessioni.
Un assistente IA direttamente nella console
Descrivi il compito a parole e ottieni i comandi con i pulsanti «Insert» (inserisci) e «Run» (esegui). Funziona con Claude e con qualsiasi server compatibile con OpenAI, compreso un modello locale all'interno della tua rete.
Dal clic al prompt della shell
La stessa conferma che apre RDP apre anche SSH.
- Un clic sul riquadro. Nel client le sessioni SSH hanno una scheda tutta loro, con riquadri compatti.
- Un tocco della chiave. Il client chiede la conferma al gateway: una chiave FIDO2 con PIN o impronta, Windows Hello oppure un codice monouso, se il gateway funziona in modalità a codici.
- La porta si apre solo per te. Il gateway apre la porta SSH all'indirizzo da cui è arrivata la conferma, per 90 secondi: quanto basta per avviare la connessione. Una sessione già stabilita resta attiva; per una nuova serve di nuovo la chiave.
- La console avvia ssh. È l'
sshdel sistema: le tue chiavi,ssh-agente~/.ssh/configfunzionano come prima.
L'assistente IA: dal compito al comando
L'assistente vive nel pannello laterale della console e sa su quale macchina stai lavorando e con quale utente. Il modello lo scegli tu.
Descrivi il compito, ottieni un comando
Ogni comando suggerito arriva in un blocco a sé, con i suoi pulsanti: «Insert» lo digita nel terminale senza Invio, «Run» lo esegue, «+ Save» lo salva nel tuo elenco di comandi.
Claude con una chiave API
Inserisci una chiave API di Anthropic e l'assistente diventa Claude. L'indirizzo e il modello sono già compilati; l'elenco dei modelli compare una volta inserita la chiave.
Oppure un tuo modello, dentro la tua rete
Qualsiasi server compatibile con OpenAI: LM Studio, Ollama, un tuo gateway API. La console chiede da sola al server l'elenco dei modelli. Con un modello locale né le tue domande né l'output del terminale escono dalla tua rete.
Prompt: descrivi il server una volta sola
Note permanenti per l'assistente: che sistema è, che cosa è installato, che cosa non va toccato. I prompt spuntati arrivano al modello con ogni domanda, per questa sessione o per tutte.
Cronologia delle conversazioni
Le conversazioni sono conservate per sessione: puoi riaprirne una precedente e continuarla, oppure iniziarne una nuova. Quando riapri una vecchia conversazione, nel terminale non viene digitato nulla.
Che cosa vede l'assistente e che cosa non vede mai
- Il testo del terminale: solo finché è spuntata la casella «Sees the console» (vede la console). In quel caso con ogni domanda partono le ultime 200 righe dello schermo. A far rispettare il divieto è il programma stesso, non la pagina del pannello.
- Le password: mai. Le digita il programma, il terminale non le stampa e non finiscono nel testo inviato al modello.
- La chiave API è conservata cifrata (DPAPI su Windows, il portachiavi del desktop su Linux) e viene inviata solo all'indirizzo per cui è stata salvata.
- Le richieste partono direttamente dal tuo computer verso l'indirizzo che hai indicato. Non passano dai nostri server.
Chi preme Invio lo decidi tu
- «By click only» (solo con un clic; è la modalità predefinita): l'assistente suggerisce, tu inserisci o esegui.
- «Insert the first one» (inserisci il primo): il primo comando suggerito arriva sulla riga di comando, Invio lo premi tu.
- «Run the first one» (esegui il primo): il primo comando viene eseguito subito. La console avvisa di questa modalità nel momento in cui la attivi.
L'assistente è istruito a non iniziare con un comando distruttivo e ad avvisare con una riga prima di un comando che elimina dati, riavvia un servizio o modifica gli accessi. Resta comunque un modello: leggi il comando prima di eseguirlo.
Le password si digitano da sole
Come un gestore di password, ma dentro il terminale.
- Ogni voce risponde alla propria richiesta. Indica una parte della riga, per esempio
[sudo] password, e la console propone la voce non appena il terminale stampa quella richiesta. - «Type it by itself» (digitazione automatica): la voce risponde alla propria richiesta senza clic, ma non più di una volta ogni 15 secondi, così una password sbagliata non viene mai digitata tre volte di fila.
- Anche le password di accesso e le passphrase delle chiavi:
Enter passphrase for key…viene riconosciuto come richiesta di password. - Le custodisce il sistema, non noi: DPAPI dell'utente corrente su Windows, il portachiavi del desktop su Linux. La pagina del pannello non riceve mai una password: indica quale voce usare, e a digitarla è il programma.
Comandi a portata di clic
I comandi frequenti con un clic, non dalla cronologia della shell.
- Un clic esegue il comando; «Insert» lo digita senza Invio, così puoi aggiungere gli argomenti.
- Per server e comuni: prima vengono i comandi di questa sessione, gli altri sono comuni a tutte le sessioni.
- I comandi su più righe vanno bene, e un buon comando dell'assistente si conserva con «+ Save».
Nel client: la scheda SSH e le impostazioni della sessione
I server SSH stanno accanto ai desktop, in una scheda tutta loro.
- La scheda «SSH» con riquadri compatti: nome, indirizzo, utente, ultima connessione. Con il tasto Tab passi da questa scheda ai desktop e viceversa.
- Un'immagine personalizzata per il riquadro (PNG, JPEG, BMP, GIF, ICO), così il server giusto si trova a colpo d'occhio.
- Porta SSH, file della chiave e opzioni di ssh nella sessione: le opzioni passano a ssh così come sono scritte, per esempio il port forwarding
-Lo un jump host-J. - Nessun download separato: su Windows la console è integrata nel client e arriva con il suo aggiornamento; su Linux è il comando
rdpfido consoledel pacchetto del client.
Il gateway: un solo comando sul server
Il gateway RDP FIDO per Linux chiude dietro la stessa chiave anche altre porte TCP: SSH, la console web di Proxmox, un pannello di amministrazione.
Sul server
# chiudi SSH; più porte: separale con spazi$ sudo rdpfido-gate ports add 22 # che cosa è chiuso adesso$ sudo rdpfido-gate ports # riporta la porta al funzionamento normale$ sudo rdpfido-gate ports remove 22
Da un client Linux
# chiave → le porte si aprono per la durata della finestra$ rdpfido open web-01 # lo stesso, poi ssh verso l'host della sessione$ rdpfido ssh web-01 # lo stesso nella finestra della console SSH$ rdpfido console web-01
- Pacchetti per Ubuntu, Debian, Astra Linux, RED OS e ALT Linux (deb e rpm), più un archivio con installer per qualsiasi altra distribuzione.
- Fino a 16 porte. Le connessioni già aperte non vengono interrotte, quindi la porta 22 si può chiudere dall'interno di una sessione SSH.
- Non puoi chiuderti fuori per sbaglio: finché non viene registrata la prima chiave le porte restano aperte, e
rdpfido-gate unlockdalla console della macchina stessa è l'uscita di emergenza. - La finestra limita solo l'avvio di una connessione. Una sessione stabilita all'interno della finestra continua anche dopo la sua chiusura.
Per iniziare
- Sul server (Linux): installa il pacchetto del gateway, esegui
sudo rdpfido-gate setup, poisudo rdpfido-gate ports add 22. - Sul tuo computer: installa il client RDP FIDO, versione 1.24.1 o successiva, e registra la tua chiave con il codice stampato dal gateway.
- Aggiungi una sessione: «Add» (aggiungi) nella scheda «SSH», quindi server, nome utente, protocollo «SSH console» e indirizzo del gateway.
- L'assistente: scheda «Assistant» (assistente), poi l'ingranaggio — Claude con una chiave API oppure l'indirizzo di un tuo server.
Che cosa non c'è ancora
- Le porte aggiuntive le chiude il gateway su Linux. Per ora il gateway su Windows protegge solo RDP.
- Attraverso un hub del cloud (rdpfido-cloud) passa solo RDP; SSH richiede una connessione diretta al gateway.
- Il client grafico per Linux non ha il riquadro della console: la console si avvia con
rdpfido console, e nei pacchetti Linux attuali il nome del modello va digitato a mano. - Mancano il trasferimento di file e le schede con più terminali in un'unica finestra della console.
Domande e risposte
L'assistente IA vede le mie password?
No. Le password le digita il programma stesso, il terminale non le stampa, la pagina del pannello non le riceve mai e non finiscono nel testo inviato al modello. L'assistente riceve il testo del terminale solo finché è spuntata la casella «Sees the console».
Posso usare un modello locale, senza alcun cloud?
Sì. Va bene qualsiasi server compatibile con OpenAI: LM Studio, Ollama, un tuo gateway API. Le richieste vanno dal tuo computer direttamente all'indirizzo che hai indicato, quindi con un modello dentro la tua rete non ne esce nulla.
Quali modelli sono supportati?
Claude tramite l'API di Anthropic (serve una chiave API) e qualsiasi modello dietro un'API compatibile con OpenAI. Una volta inserito l'indirizzo, la console mostra i modelli disponibili sul server; il nome si può anche digitare a mano.
L'assistente può eseguire comandi da solo?
Non per impostazione predefinita: i comandi vengono inseriti o eseguiti solo con un tuo clic. Ci sono altre due modalità, «Insert the first one» (inserisci il primo) e «Run the first one» (esegui il primo); attiva la seconda solo quando ti fidi sia del modello sia del compito.
Serve una chiave hardware?
Va bene una chiave FIDO2 (YubiKey e altre) oppure Windows Hello. Se non ci sono chiavi, il gateway può funzionare in modalità a codici monouso, con un'app di autenticazione.
Posso usare la console senza il gateway?
Sì. Una sessione senza gateway è una normale console SSH con password, comandi e assistente. Il gateway aggiunge la cosa principale: una porta chiusa per tutti gli altri.
È a pagamento?
La console fa parte del client, anche nella versione gratuita (fino a 10 sessioni salvate). Pro, con un pagamento una tantum, elimina il limite di sessioni e la pubblicità. Il modello si paga a parte al suo fornitore, oppure non costa nulla se è tuo.
Su quali sistemi funziona?
Il client con la console: Windows 10 e 11 (usa l'OpenSSH di sistema e WebView2) e Linux. Il gateway che chiude SSH: Linux, con pacchetti per Ubuntu, Debian, Astra Linux, RED OS e ALT Linux.
Chiudi SSH dietro la chiave e lavora in una console che ti aiuta
La versione gratuita comprende il gateway, il client e la console. L'assistente funziona con il modello che scegli tu.