伺服器登入還在只用密碼？試試改用金鑰

密碼爆破是伺服器失陷的常見入口。本文給出SSH金鑰登入的五個步驟與順序注意事項，並補充私鑰保管、許可權分配與自動封禁等後續加固建議。

翻開入侵事件的復盤報告，相當一部分伺服器失陷的第一步不是什麼高階漏洞，而是密碼被暴力猜中。只要伺服器還開著密碼登入，爆破工具就會一天到晚不斷嘗試，密碼再複雜也只是機率問題。更徹底的辦法是改用SSH金鑰登入。 操作分五步。第一步，在自己常用的電腦上生成金鑰對，建議加上私鑰口令，這樣即使私鑰檔案洩露，別人沒有口令也用不了。第二步，把公鑰內容追加到伺服器的authorized_keys檔案裡，注意一行一個公鑰，檔案許可權設定為六百，所屬目錄許可權不對時金鑰登入會被拒絕，這是新手最容易踩的坑。第三步，保持當前登入會話不要斷開，新開一個終端用金鑰登入測試，確認能正常進入。 第四步是關鍵：確認金鑰登入沒問題之後，再修改sshd配置停用密碼登入，把PasswordAuthentication設為no並重啟sshd服務。順序千萬別反，先禁密碼又沒驗證金鑰，就可能把自己鎖在門外。第五步，退出原會話前再完整驗證一次新會話能否登入。 換成金鑰登入後，爆破基本失效，但還有幾件事要跟上：私鑰不要放在公共電腦裡，也不要用聊天工具傳輸；多人共用伺服器時每人一把自己的金鑰，人員離職直接刪掉對應公鑰；有條件的話再限制來源IP、改掉預設埠，配合自動封禁工具把掃描IP拉黑。 賬號安全是伺服器加固裡投入最小、收益最大的一項，花二十分鐘就能把被爆破的風險降到很低，配合日常日誌檢查，大多數低水平的入侵嘗試都可以提前擋掉。新購伺服器開通後建議第一件事就做這個，加速IDC的雲伺服器和物理伺服器都支援金鑰登入，裝機時順手配置好，後續管理會省心不少。