什么是 SSH？SSH，或 Secure Shell，是一種網絡協議，允許用戶通過 Internet 遠程管理他們的服務器或計算機，其中兩臺機器之間的通信被高度加密并防止被竊聽。用戶在他或她的機器上運行客戶端，網絡連接將用戶的擊鍵和命令從用戶的本地機器傳送到遠程服務器。然后網絡連接將服務器的響應傳回給用戶。

與使用不受保護的網絡協議（如 telnet 和 rlogin）遠程管理計算機的舊方法相比，SSH 提供了一種安全的替代方法，可以替代不安全的網絡連接（如 Internet）。如今，SSH 在大多數（如果不是全部）服務器中都有提供。

用戶可以通過運行 PuTTY 客戶端、終端、Bash 或任何其他客戶端，通過 SSH 輸入用戶名和密碼來連接到遠程服務器。然而，還有一個比每次連接到遠程服務器時都輸入密碼更安全、更簡單的選擇，即在所述 SSH 服務器上使用 SSH 公鑰進行身份驗證。

什么是 SSH 公鑰身份驗證以及它們如何工作？

SSH 服務器可以通過多種方式對用戶進行身份驗證，其中最常用的方法是通過密碼和公鑰身份驗證。

通常，用戶如何安全地連接到他們的服務器是打開 PuTTY/Terminal/Bash 并通過使用 GUI 登錄或在終端中鍵入 ssh username@IPAddress 來啟動 SSH 連接，然后繼續輸入密碼提示時。

但是，當您想登錄到遠程服務器時，不是在 PuTTY/Terminal 客戶端中鍵入密碼，而是另一種安全身份驗證的方法是使用 SSH 公鑰進行身份驗證，這是在不鍵入密碼的情況下進行身份驗證。

SSH 密鑰身份驗證成對工作：私鑰和公鑰。與對稱加密（加密和解密使用相同的密鑰）不同，SSH 密鑰認證采用非對稱加密算法，加密和解密使用不同的密鑰。

用戶（或授權人）需要生成私鑰和公鑰。私鑰必須安全保密，不得與任何其他人共享。如果私鑰被泄露，它幾乎就像消失了一樣，因為惡意用戶可能會使用私鑰訪問遠程服務器，而且如果私鑰不受任何密碼保護。

與私鑰一起生成的公鑰可以與任何服務器共享。然后使用SSH協議將公鑰上傳到用戶要登錄的遠程服務器。因此，關系也可能是這樣的；一把私鑰對一把公鑰放置在許多服務器中。

另一個有權訪問公鑰的人并不意味著他/她可以解密消息。只有擁有私鑰的用戶才能解密消息。公鑰僅用作加密消息的一種方式，消息只能由擁有私鑰的人解密。可以肯定地說，私鑰不能從公鑰中導出。因此，公鑰無法解密它發出的消息，甚至無法解密私鑰加密的消息。

因此，如果用戶使用 SSH 密鑰進行身份驗證（而不是手動輸入密碼），服務器將向用戶發送加密的質詢語句，然后用戶將使用私鑰解密消息，然后將其發送回遠程服務器進行檢查。然后服務器將驗證消息是否被正確解密，如果它與之前的質詢語句匹配，則客戶端通過身份驗證。

基本上，遠程 SSH 服務器正在測試客戶端是否具有與該遠程服務器上的公鑰相關聯的正確私鑰。如果客戶端能夠證明它擁有正確的私鑰，那么客戶端就通過了身份驗證。

為什么使用 SSH 密鑰而不是密碼進行身份驗證？

不可否認，使用 SSH 公鑰進行身份驗證比使用密碼進行身份驗證的主要優勢在于安全性。無論密碼有多長或多復雜，它永遠不能等同于 SSH 公鑰提供的加密強度。密碼容易受到惡意用戶的暴力攻擊，或者更糟的是，密碼甚至可以被知道可用于找回密碼的用戶個人信息的人猜測。

此外，使用 SSH 公鑰還可以消除用戶必須記住或寫下復雜密碼的需要。如果用戶需要多次訪問遠程服務器而無需在每次登錄時（或會話因空閑時間斷開連接時）多次輸入密碼，公鑰身份驗證還允許非交互式登錄，因為以及自動化需要來自遠程機器的身份驗證的過程。

最佳實踐

但是，如果私鑰沒有保存在安全的地方，那么上述所有優點都毫無意義。為了提高安全性，建議將私鑰存儲在智能卡或 USB 令牌等加密設備上，而不是將私鑰存儲在硬盤上，這樣如果未經授權的用戶惡意用戶無法訪問它獲得對計算機的訪問權限。此外，可以使用密碼加密私鑰。但這僅適用于交互式登錄（對于非自動化任務），因為它可能需要一個人輸入密碼才能使用私鑰。

由于創建一對 SSH 密鑰需要最少的工作，通常情況下，不必要地生成或重新生成密鑰（在許多情況下，自行配置）只是為了解決小問題。如果任其發展，這可能會導致無法管理的混亂，其中有許多公鑰卻不知道它們與誰相關聯，也不知道該人是否仍被授權訪問服務器。