服务器登录还在只用密码？试试改用密钥

密码爆破是服务器失陷的常见入口。本文给出SSH密钥登录的五个步骤与顺序注意事项，并补充私钥保管、权限分配与自动封禁等后续加固建议。

翻开入侵事件的复盘报告，相当一部分服务器失陷的第一步不是什么高级漏洞，而是密码被暴力猜中。只要服务器还开着密码登录，爆破工具就会一天到晚不断尝试，密码再复杂也只是概率问题。更彻底的办法是改用SSH密钥登录。 操作分五步。第一步，在自己常用的电脑上生成密钥对，建议加上私钥口令，这样即使私钥文件泄露，别人没有口令也用不了。第二步，把公钥内容追加到服务器的authorized_keys文件里，注意一行一个公钥，文件权限设置为六百，所属目录权限不对时密钥登录会被拒绝，这是新手最容易踩的坑。第三步，保持当前登录会话不要断开，新开一个终端用密钥登录测试，确认能正常进入。 第四步是关键：确认密钥登录没问题之后，再修改sshd配置禁用密码登录，把PasswordAuthentication设为no并重启sshd服务。顺序千万别反，先禁密码又没验证密钥，就可能把自己锁在门外。第五步，退出原会话前再完整验证一次新会话能否登录。 换成密钥登录后，爆破基本失效，但还有几件事要跟上：私钥不要放在公共电脑里，也不要用聊天工具传输；多人共用服务器时每人一把自己的密钥，人员离职直接删掉对应公钥；有条件的话再限制来源IP、改掉默认端口，配合自动封禁工具把扫描IP拉黑。 账号安全是服务器加固里投入最小、收益最大的一项，花二十分钟就能把被爆破的风险降到很低，配合日常日志检查，大多数低水平的入侵尝试都可以提前挡掉。新购服务器开通后建议第一件事就做这个，加速IDC的云服务器和物理服务器都支持密钥登录，装机时顺手配置好，后续管理会省心不少。