Как устроен доступ

Доступ к машинам легко дать и так же легко забрать. Твои ключи нам не нужны, порты мы не открываем.

Сертификат на две минуты

Для каждого подключения подписываем свой сертификат SSH с твоим именем внутри, и он годится только для этого сервера. Поэтому в журнале сервера каждый вход виден с именем того, кто входил:

Accepted publickey for tterm from 203.0.113.24 port 41522 ssh2: ED25519-CERT SHA256:… ID Anna via tTerm Web (…) to web-01 (serial 1042) CA ED25519 SHA256:…

Подпись отдельно

Ключи CA живут в отдельном процессе без сети. Ядро не может их прочитать, только попросить подпись, и каждая подпись записывается в журнал.

sshd_config не трогаем

Доверие добавляется одной строкой в authorized_keys одного пользователя, tterm. Ничего не перезапускаем, поэтому запереть себя снаружи нельзя.

Серверы, перенесённые с Mac

Сервер, перенесённый из tTerm для Mac, может открываться ещё двумя способами. Со способом «Мой ключ» входит твой собственный ключ из хранилища: вход подписывает твоё устройство, где хранилище открыто, а на сервере ничего не добавляется. Со способом «Через этот Mac» ssh до сервера запускает твой Mac, и из облака сервер может быть вовсе недоступен. Третий способ, «Пропуск tTerm», – тот же сертификат на две минуты, только строка tTerm лежит в authorized_keys твоего пользователя, а не tterm. Подробно – в разделе Перенести в облако.

Связь только изнутри

Агент на компьютере сам выходит на связь, входящих портов не нужно. Удаляется одной командой.

Без посредников

Страница tTerm Web и терминалы идут напрямую на наш сервер в ЕС. Cloudflare у нас только DNS и команд не видит.

Открытый код

Код облака и агента открыт под AGPL v3: github.com/tterm-net. Установочный скрипт короткий: прочитай его перед запуском.

Как забрать доступ

Удали сервер, и облако само уберёт свой доступ с него. Если сервер не ответит, появится команда, которая сделает это на нём. Агент с компьютера удаляется одной командой, ~/.tterm-web/uninstall.sh. Свой ключ из хранилища убирает «Удалить» в «Настройки» → «Ключи».