TG咨询
SSH密钥登录服务器通常比单纯使用密码更能抵抗撞库和弱密码攻击，但私钥一旦泄露，攻击者可能绕过密码直接建立会话。真正可靠的做法不是只生成一对密钥，而是同时检查密钥保存位置、服务端配置、账号权限和异常登录迹象。
下面这7项检查适用于运行 OpenSSH 的 Linux 主机，也适合通过堡垒机管理的云服务器。修改配置前，应先保留一个已经验证可用的会话，避免因配置错误把自己锁在服务器之外。
一、确认密钥来源和账号归属
SSH密钥登录服务器时，每名管理员都应使用独立密钥，不要把同一份私钥复制给同事、外包人员或多台电脑。公钥应绑定到明确的个人账号，而不是多人共用的管理员账号。
- 列出实际需要登录的人员、主机和用途，删除已经离职、停用或不再使用的公钥。
- 为生产、测试和个人开发环境分别建立密钥，不要让测试电脑的私钥能够进入生产系统。
- 在公钥记录旁保存负责人、创建时间和用途，便于后续轮换。
二、保护本地私钥，先从设备安全做起
私钥应只保存在受控设备中，避免放入公共网盘、聊天软件、代码仓库或工单附件。文件权限应限制为当前用户可读；如果使用 macOS、Linux 或 Windows 的密钥管理工具，也要设置系统登录保护和自动锁屏。
生成密钥时建议为私钥设置强口令。口令不能与邮箱、云平台或公司账号重复。若电脑丢失，应立即把对应公钥从服务器删除，并在其他设备上重新生成密钥。SSH密钥登录服务器的风险，往往首先来自终端失控，而不是服务器本身。
三、检查服务端是否关闭不必要的密码入口
如果业务已经完成密钥部署，可在 OpenSSH 配置中关闭密码认证，并保留密钥认证。修改前先确认新密钥确实能登录，并准备云厂商控制台、串口或带外管理作为恢复通道。
可按以下顺序操作：
- 使用新终端测试密钥登录，不要关闭原有会话。
- 检查服务端配置中的密码认证、空密码和交互式认证选项，仅保留实际需要的方式。
- 执行配置语法检查，再重新加载 SSH 服务；不要在语法未验证时直接重启。
- 用普通运维账号再次登录，确认配置生效后再结束旧会话。
对于必须兼容旧系统的场景，不宜贸然关闭所有密码入口，可先限制来源地址并设置迁移期限，完成替换后再关闭。
四、限制可登录账号和网络来源
SSH密钥登录服务器仍然需要最小权限。只有确实承担运维职责的账号才应获得 SSH 入口，应用账号、数据库账号和临时服务账号通常不应开放交互式登录。
网络层可以使用云防火墙、安全组或本地防火墙限制来源。办公室固定出口、VPN 网段和跳板机地址适合列入允许范围；直接对全互联网开放会增加扫描和暴力尝试。来源地址变化较大的远程办公环境，应优先使用 VPN 或零信任访问，而不是不断扩大白名单。
五、检查私钥代理与转发风险
SSH 代理能够减少反复输入私钥口令，但代理中的密钥可能被当前用户会话调用。多人共用工作站、远程桌面服务器或不完全可信的跳板机，不适合长期加载高权限密钥。
更稳妥的做法
- 只在需要时加载密钥，任务结束后及时移除。
- 连接不可信跳板机时关闭代理转发，避免目标主机借用本地代理访问其他系统。
- 为生产环境使用单独的低权限运维密钥，并限制可执行的管理范围。
六、查看日志并建立异常告警
至少应定期查看 SSH 服务日志，关注短时间内大量失败、来自陌生地区的成功登录、非工作时段的高权限登录，以及同一密钥在不合理地点同时使用的情况。Linux 发行版的日志位置会因 systemd、发行版和安全审计配置不同而变化，可通过系统日志工具按 SSH 服务名查询。
日志记录不应只保留在被管理的服务器上。将关键认证日志发送到集中式日志平台后，即使攻击者取得主机权限并清理本地记录，管理员仍有机会发现异常。告警阈值应结合业务时间、办公出口和自动化任务调整，避免过多误报。
七、制定轮换、撤销和应急流程
密钥轮换不是等到泄露后才进行。高权限密钥可以按组织安全要求定期更换；人员变动、设备遗失、私钥误传或发现异常登录时，应立即撤销旧公钥并检查同一密钥是否出现在其他主机。
- 先创建新密钥并在目标账号中加入对应公钥。
- 用新密钥从独立终端测试所有必要主机。
- 删除旧公钥，记录撤销原因、时间和执行人。
- 检查近期认证日志、账号权限和计划任务，确认没有遗留访问。
如果怀疑私钥已经泄露，不要只修改私钥口令，因为攻击者可能已经拥有原始私钥副本；应撤销服务端公钥并重新生成密钥。
不同场景的检查重点
| 场景 | 优先检查 | 主要注意事项 |
|---|---|---|
| 个人开发机 | 私钥口令、磁盘加密 | 防止电脑丢失后被直接读取 |
| 云服务器 | 安全组、账号范围、日志 | 不要因临时排障长期开放公网来源 |
| 团队跳板机 | 代理转发、分权、审计 | 避免多人共用高权限私钥 |
| 自动化部署 | 专用账号、权限和轮换 | 密钥不应写入公开仓库或构建日志 |
常见问题
只有公钥放在服务器上，公钥泄露有危险吗？
通常公钥本身不能用于登录，但它会暴露账号关联信息。真正需要保护的是私钥，同时仍应及时删除无效公钥。
关闭密码认证后还能使用应急账号吗？
可以，但应急账号也应采用受保护的密钥，并限制来源和权限。修改前务必验证控制台或带外恢复方式。
多久更换一次密钥合适？
没有适用于所有环境的固定周期。高权限、人员流动频繁或设备管控较弱的环境应缩短周期；发生泄露迹象时应立即轮换。
SSH密钥登录服务器还需要多因素认证吗？
需要时可以叠加硬件安全密钥、VPN 或堡垒机认证。密钥认证与第二因素分别保护不同环节，适合高权限和生产环境。
完成这7项检查后，SSH密钥登录服务器才真正形成从密钥生成、使用、审计到撤销的闭环。重点不是追求复杂配置，而是确保每把密钥都有明确归属、最小权限和可执行的失效流程。
