feat(security): production-ready SSH tunneling and Bastion Host support

[ZhuchkaTriplesix]

Summary

Реализовать встроенную поддержку безопасных SSH-туннелей (Bastion / Jump host) для всех поддерживаемых баз данных (PostgreSQL, MySQL, MongoDB, Redis, SQLite remote / Extensions).

Context

В реальных production-инфраструктурах (AWS RDS, GCP Cloud SQL, частные Kubernetes кластеры, корпоративные VPC) базы данных не имеют публичных IP-адресов и закрыты файрволами. Единственный легитимный способ подключения — через Bastion-сервер по SSH.

Architecture & Security Model

1. Локальный Ephemeral Port Forwarding:
   • Сервис SshTunnelManager поднимает локальный ServerSocket на 127.0.0.1:randomPort.
   • Драйверы СУБД (postgres, mysql_client, mongo_dart, redis) подключаются к локальному сокету без изменения своего сетевого кода.
   • Поддерживается TLS поверх SSH.
2. Безопасность (Zero-Leak):
   • Пароли SSH, приватные ключи и passphrases хранятся исключительно в ConnectionSecretsStore (flutter_secure_storage -> Keychain / DPAPI / libsecret).
   • In-memory zeroing буферов после установления соединения (sec(storage): implement in-memory secret scrubbing for database passwords and credentials #607).
   • Локальный сокет биндится строго к 127.0.0.1 (запрет 0.0.0.0).
   • Known Hosts: верификация отпечатка хоста (SHA-256 fingerprint) для защиты от MitM.
3. Методы аутентификации:
   • SSH Password
   • Private Key (OpenSSH, PEM, RSA, Ed25519, ECDSA) + Passphrase
   • SSH Agent (SSH_AUTH_SOCK на Linux/macOS, Named Pipe на Windows)
   • Jump Host / ProxyJump (Multi-hop)
4. Надежность и Lifecycle:
   • Пул туннелей с подсчетом ссылок (ref-counting).
   • Keep-alive пинги (ServerAliveInterval) для предотвращения разрыва соединения облачными NAT.
   • Корректный graceful shutdown при закрытии окна или отключении соединения в дереве.

Acceptance Criteria

• В формы подключения добавлена вкладка/секция настройки SSH-туннеля с кнопкой «Test SSH Connection».
• Подключение ко всем СУБД (Postgres, MySQL, MongoDB, Redis) успешно проходит через Bastion.
• Секреты SSH шифруются на уровне ОС и не попадают в SQLite querya.db.
• При разрыве связи или закрытии приложения сокеты и туннели очищаются без утечек.

[ZhuchkaTriplesix]

Implemented and merged to dev via #1075