關於SSH金鑰

SSH金鑰提供一種更為安全的虛擬專有伺服器登入機制，即利用SSH而非單純依靠密碼完成登入。與易被竊取的密碼不同，SSH金鑰幾乎無法以暴力方式破解。生成的金鑰對為我們提供兩條字串，即公鑰與私鑰。大家可以將公鑰儲存在任意伺服器，並利用配備有私鑰的客戶端對該伺服器者訪問。當二者匹配時，系統即會解鎖而不再需要輸入密碼內容。另外，大家也可以對私鑰進行保護以額外提升安全性水平。

第一步——建立RSA金鑰對

第一步是在客戶裝置上建立金鑰對：

ssh-keygen -t rsa

第二步——儲存金鑰與口令

輸入Gen Key命令後，系統會提示以下問題：

Enter file in which to save the key (/home/demo/.ssh/id_rsa):
 

這裡可以直接按下回車，從而將該檔案儲存在使用者home目錄中（本示例中的使用者名稱為demo）。

Enter passphrase (empty for no passphrase):

大家可以自行決定是否使用口令。輸入口令的作法確有優勢：無論金鑰的安全性有多高，也無論其如何進行加密，最終效果依然取決於其是否無法為他人所獲取。在使用口令時，即使受口令保護的私鑰落入未授權使用者手中，他們亦無法在不知道口令內容的情況下使用該私鑰。當然，其缺點在於在每次使用時，我們都需要手動輸入口令。

完整的金鑰生成流程如下所示：

ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/demo/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/demo/.ssh/id_rsa.
Your public key has been saved in /home/demo/.ssh/id_rsa.pub.
The key fingerprint is:
4a:dd:0a:c6:35:4e:3f:ed:27:38:8c:74:44:4d:93:67 
 
[email protected]
The key's randomart image is:
+--[ RSA 2048]----+
|          .oo.   |
|         .  o.E  |
|        + .  o   |
|     . = = .     |
|      = S = .    |
|     o + = +     |
|      . o + o .  |
|           . o   |
|                 |
+-----------------+

現在公鑰已經儲存在/home/demo/.ssh/id_rsa.pub，而私鑰則儲存在/home/demo/.ssh/id_rsa。

第三步——複製公鑰

金鑰對生成完成後，我們需要將公鑰放置在需要使用的虛擬伺服器當中。

大家可以使用以下命令將公鑰複製到新裝置的authorized_keys檔案當中。請確保將使用者名稱與IP地址替換為您的實際值。

ssh-copy-id [email protected]

另外，大家也可以利用SSH直接貼上金鑰：

cat ~/.ssh/id_rsa.pub | ssh [email protected] "mkdir -p ~/.ssh && cat >>  ~/.ssh/authorized_keys"

無論使用哪種方法，其顯示結果應如下所示：

The authenticity of host '12.34.56.78 (12.34.56.78)' can't be established.
RSA key fingerprint is b1:2d:33:67:ce:35:4d:5f:f3:a8:cd:c0:c4:48:86:12.
Are you sure you want to continue connecting (yes/no)? yes
Warning: Permanently added '12.34.56.78' (RSA) to the list of known hosts.
[email protected]'s password: 
Now try logging into the machine, with "ssh     '[email protected]'", and check in:

  ~/.ssh/authorized_keys

現在大家即可使用[email protected]實現登入而無需輸入密碼。不過，如果大家設定了口令，則需要在每次登入時都輸入一次口令。

第四步（可選）——禁用Root登入密碼

完成以上步驟後，我們還需要確保自己只能利用SSH金鑰進行登入，即禁用root登入。

開啟SSH配置檔案：

sudo nano /etc/ssh/sshd_config

在檔案中找到包含PermitRootLogin的一行，進行修改以確保使用者只能利用SSH金鑰完成登入：

PermitRootLogin without-password

過載以應用變更：

reload ssh

Digital Ocean Addendum

DIgital Ocean控制面板允許大家在建立新Droplet時為其新增公鑰。大家可以在方便的位置生成SSH金鑰，例如本地計算機，而後將其公鑰上傳至-SSH key位置。

此後，在我們建立新的VPS時，即可選擇在伺服器上使用該公鑰。如此一來，伺服器不會通過郵件向我們傳送root密碼，我們亦能夠通過選定的客戶端登入至新的虛擬專有伺服器。如果大家建立了口令，則需要在每次登入時正確輸入。

翻譯：diradw