> 作者：幻好
>
> 來源：[恆生LIGHT雲社群](https://developer.hs.net/thread/1804)

## 概述

隨著雲技術的成熟，越來越多的人開始使用雲伺服器搭建自己的應用，但是很多人並不在意網路安全的問題，導致伺服器被駭客攻擊，最後追悔莫及。本文將對安全登陸協議SSH的建立及使用進行介紹，幫助大家提高安全防範。

SSH（安全外殼協議）是一種加密網路協議，它允許使用者透過不安全的網路安全地訪問遠端計算機。

SSH 金鑰是一種更安全的登入 SSH 伺服器的方法，因為它們不易受到常見的暴力密碼駭客攻擊。儘管 SSH 支援基於密碼的身份驗證，但通常建議使用**SSH 金鑰**。生成 SSH 金鑰對會建立兩個長字串：**公鑰** 和 **私鑰**。可以將公鑰放在任何伺服器上，然後使用可以訪問私鑰的 SSH 客戶端連線到伺服器。當公鑰和私鑰匹配時，SSH 伺服器無需密碼即可授予訪問許可權。也可以透過使用可選（但強烈推薦）的密碼保護私鑰來進一步提高金鑰對的安全性。

## 具體操作

### 建立金鑰對

首先是在客戶端機器上建立一個金鑰。這可能是本地計算機。在本地命令列中鍵入命令：`ssh-keygen -t ed25519`

```
[root@localhost ~]# ssh-keygen -t ed25519
Generating public/private ed25519 key pair.
Enter file in which to save the key (/root/.ssh/id_ed25519): 
```

輸入命令後，會看到輸出的命令確認資訊，需要輸入金鑰儲存地址。

> 如果使用的系統是不支援建立 `ed25519`金鑰的舊系統，或者連線的伺服器不支援它們，則需要建立一個強 `rsa`金鑰對：`ssh-keygen -t rsa -b 4096 ` 複製這會將 `-t`“型別”標誌更改為 `rsa`，並新增 `-b 4096`“位”標誌以建立 4096 位金鑰。

### 指定儲存金鑰的位置

`ssh-keygen`命令的第一個提示是詢問儲存金鑰的位置：

```
Enter file in which to save the key (/root/.ssh/id_ed25519): 
```

可以直接按 `ENTER`此處將檔案儲存到 `.ssh`您的主目錄中的預設位置，或者指定系統中某一地址目錄。

這裡我們直接回車，儲存預設地址。

### 建立密碼

確認儲存地址後，會提示需要設定一個密碼：

```
Enter passphrase (empty for no passphrase):
```

密碼也可以直接預設不設定，但強烈建議還是設定密碼，因為金鑰的安全性，還是基於設定的複雜程度。如果沒有密碼的私鑰落入未經授權的其他人手上，他們將能夠登入到你使用相關公鑰配置的任何伺服器。

回顧一下，整個金鑰生成過程如下所示：

```
[root@localhost ~]# ssh-keygen -t ed25519
Generating public/private ed25519 key pair.
Enter file in which to save the key (/root/.ssh/id_ed25519): 
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /root/.ssh/id_ed25519.
Your public key has been saved in /root/.ssh/id_ed25519.pub.
The key fingerprint is:
SHA256:hRTOxc4IFviuv0vr4q61fGTee2Xo5Ol/gmUtZh/Y55s root@localhost.localdomain
The key's randomart image is:
+--[ED25519 256]--+
|     ...oo.      |
|    . o+ o.      |
|     o .++.      |
|      . ..o      |
|     .  S  . +   |
|      +   o X + .|
|    .=.. + X o + |
|   oooo.. * . o o|
|  .+==*o.+...o E.|
+----[SHA256]-----+

```

公鑰現在位於 `/root/.ssh/id_ed25519.pub.`

私鑰現在位於 `/root/.ssh/id_ed25519.`

## 將公鑰複製到遠端伺服器

生成金鑰對後，就可以將公鑰放在要連線的伺服器上。

可以 `authorized_keys`使用該 `ssh-copy-id`命令將公鑰複製到伺服器的檔案中。確保替換示例使用者名稱和地址：

```bash
ssh-id user@server_address
```

命令完成後，將能夠透過 SSH 登入伺服器，而不會被提示輸入密碼。但是，如果在建立 SSH 金鑰時設定了密碼，則需要輸入密碼。主要是因為本地的ssh客戶端需要進行解密，而不是遠端伺服器需要解密。

## 禁用基於密碼的 SSH 身份驗證

將 SSH 金鑰複製到伺服器後，可以透過將 SSH 伺服器配置為禁用基於密碼的身份驗證來完全禁止密碼登入。

> 在禁用基於密碼的身份驗證之前，要**確保可以使用 SSH 金鑰成功登入伺服器**，並且伺服器上沒有其他使用者使用密碼登入。

要禁用基於密碼的 SSH 身份驗證，請開啟 SSH 配置檔案。它通常位於以下位置：

```bash
sudo nano /etc/ssh/sshd_config
```

此命令將在 `nano`文字編輯器中開啟檔案。在檔案中找到包含 `PasswordAuthentication`的行（如果不存在則建立該行），確保沒有 `#`在該行的開頭用 a 註釋掉，並將其更改為 `no`：`/etc/ssh/sshd_config`

```bash
PasswordAuthentication no
```

完成後儲存並關閉檔案。在 中 `nano`，使用 `CTRL+O`儲存，點選 `ENTER`確認檔名，然後 `CTRL+X`退出。

重新載入 `sshd`服務以使這些更改生效：

```bash
sudo systemctl reload sshd
```

在退出當前的 SSH 會話之前，可在另一個終端中進行測試連線以驗證其仍然可以連線。

## 結論

在本文中，我們建立了一個 SSH 金鑰對，將公鑰複製到了伺服器，並且（可選）完全禁用了基於密碼的身份驗證，透過這些操作能夠幫助我們提升伺服器的安全性。

***

想向技術大佬們多多取經？開發中遇到的問題何處探討？如何獲取金融科技海量資源？

[恆生LIGHT雲社群](https://developer.hs.net/)，由恆生電子搭建的金融科技專業社群平臺，分享實用技術乾貨、資源資料、金融科技行業趨勢，擁抱所有金融開發者。

掃描下方小程式二維碼，加入我們！

![](https://developer.hs.net/storage/attachments/2021/12/20/vzjJlveZdvxcz6rUjIBaPMbRK36iL8jCjtMU5h97.png)

Linux中如何設定SSH金鑰提升登陸安全性

相關文章