共计 3534 个字符，预计需要花费 9 分钟才能阅读完成。
生成 SSHKey
linux 指令：
$ ssh-keygen
运行上述命令，一路回车，如果放心私钥的平安问题，能够对私钥设置口令（passphrase）。完结后，再 home/.ssh 目录下，就会新生成 两个文件，id_rsa.pub 和 id_rsa, 后面是公钥，前面是私钥。
这时再输出
$ ssh-copy-id user@host #host 是要登录的主机名，user 是登录时的用户名
将公钥送到近程主机 host 上，当前再登陆就不须要再输出明码了。
好了，从此你再登录，就不须要输出明码了。
如果还是不行，就关上近程主机的 /etc/ssh/sshd_config 这个文件，查看上面几行后面 ”#” 正文是否取掉。
RSAAuthentication yes
PubkeyAuthentication yes
AuthorizedKeysFile .ssh/authorized_keys
而后，重启近程主机的 ssh 服务。
// ubuntu 零碎
$ service ssh restart
// debian 零碎
$ /etc/init.d/ssh restart authorized_keys 文件
近程主机将用户的公钥，保留在登录后的用户主目录的 $HOME/.ssh/authorized_keys 文件中。公钥就是一段字符串，只有把它追加在 authorized_keys 文件的开端就行了。
这里不应用下面的 ssh-copy-id 命令，改用上面的命令，解释公钥的保留过程：
$ ssh user@host ‘mkdir -p .ssh && cat >> .ssh/authorized_keys’ < ~/.ssh/id_rsa.pub
这条命令由多个语句组成，顺次合成开来看：（1）”$ ssh user@host”，示意登录近程主机；（2）单引号中的 mkdir .ssh && cat >> .ssh/authorized_keys，示意登录后在近程 shell 上执行的命令：（3）”$ mkdir -p .ssh” 的作用是，如果用户主目录中的.ssh 目录不存在，就创立一个；（4）’cat >> .ssh/authorized_keys’ < ~/.ssh/id_rsa.pub 的作用是，将本地的公钥文件~/.ssh/id_rsa.pub，重定向追加到近程文件 authorized_keys 的开端。
写入 authorized_keys 文件后，公钥登录的设置就实现了。
这个操作也能够间接手动实现，目标就是将本主机的公钥复制到近程主机的.ssh/authorized_keys 中。
SSHkey 介绍
https://zh.wikipedia.org/wiki…
Secure Shell（平安外壳协定，简称 SSH）是一种加密的网络传输协定，可在不平安的网络中为网络服务提供平安的传输环境[1]。SSH 通过在网络中创立平安隧道来实现 SSH 客户端与服务器之间的连贯[2]。SSH 最常见的用处是近程登录零碎，人们通常利用 SSH 来传输命令行界面和近程执行命令。SSH 应用频率最高的场合是类 Unix 零碎，然而 Windows 操作系统也能有限度地应用 SSH。015 年，微软发表将在将来的操作系统中提供原生 SSH 协定反对[3]，Windows 10 1803 版本已提供 OpenSSH 工具[4]。
在设计上，SSH 是 Telnet 和非平安 shell 的替代品。Telnet 和 Berkeley rlogin、rsh、rexec 等协定采纳明文传输，应用不牢靠的明码，容易受到监听、嗅探和中间人攻打[5]。SSH 旨在保障非平安网络环境（例如互联网）中信息加密残缺牢靠。
不过，SSH 也被指出有被嗅探甚至解密的破绽。早在 2011 年，中国的互联网审查机构曾经有能力针对 SSH 连线的打探及烦扰。6 而后爱德华·斯诺登泄露的文件也指出，美国国家安全局有时可能把 SSH 协定传输的信息解密进去，从而读出 SSH 会话的传输内容[8]。2017 年 7 月 6 日，非营利组织维基解密确认美国中央情报局曾经开发出可能在 Windows 或 Linux 操作系统中窃取 SSH 会话的工具。
概述
SSH 以非对称加密实现身份验证[2]。身份验证有多种路径，例如其中一种办法是应用主动生成的公钥 - 私钥对来简略地加密网络连接，随后应用明码认证进行登录；另一种办法是人工生成一对公钥和私钥，通过生成的密钥进行认证，这样就能够在不输出明码的状况下登录。任何人都能够自行生成密钥。公钥须要放在待拜访的电脑之中，而对应的私钥须要由用户自行保存。认证过程基于生成进去的私钥，但整个认证过程中私钥自身不会传输到网络中。
SSH 协定有两个次要版本，别离是 SSH- 1 和 SSH-2。无论是哪个版本，核实未知密钥起源都是重要的事件，因为 SSH 只验证提供用户是否领有与公钥相匹配的私钥，只有承受公钥而且密钥匹配服务器就会授予许可。这样的话，一旦承受了歹意攻击者的公钥，那么零碎也会把攻击者视为非法用户。
密钥治理
在 LUnix 零碎中，已许可登录的公钥通常保留在用户 /home 目录的 ~/.ssh/authorized_keys 文件中[10]，该文件只由 SSH 应用。当近程机器持有公钥，而本地持有对应私钥时，登录过程不再须要手动输出明码。另外为了额定的安全性，私钥自身也能用密码保护。
私钥会保留在固定地位，也能够通过命令行参数指定（例如 ssh 命令的“-i”选项）。ssh-keygen 是生成密钥的工具之一。
SSH 也反对基于明码的身份验证，此时密钥是主动生成的。若客户端和服务端从未进行过身份验证，SSH 未记录服务器端所应用的密钥，那么攻击者能够模拟服务器端申请并获取明码，即中间人攻打。然而明码认证能够禁用，而且 SSH 客户端在发现新密钥或未知服务器时会向用户收回正告。
利用
SSH 的经典用处是登录到近程电脑中执行命令。除此之外，SSH 也反对隧道协定、端口映射和 X11 连贯。借助 SFTP 或 SCP 协定，SSH 还能够传输文件[2]。
SSH 应用客户端 - 服务器模型，规范端口为 22[11]。服务器端须要开启 SSH 守护过程以便承受远端的连贯，而用户须要应用 SSH 客户端与其创立连贯。
大多数古代操作系统（包含 macOS、大部分 Linux、OpenBSD、FreeBSD、Solaris 等零碎）都提供了 SSH，包含 Windows 零碎也提供 SSH 程序（在 Windows 10 1809 版本之后）。在软件档次，许多对于 SSH 的专有软件、免费软件和开源软件被研发进去，如：
文件管理软件（同步、复制、删除等）。如：PuTTY 和 Windows 下的 WinSCP、类 Unix 零碎下的 Konqueror 等。
SSH 客户端。
根本架构
SSH 协定框架中最次要的局部是三个协定：
传输层协定（The Transport Layer Protocol）：传输层协定提供服务器认证，数据机密性，信息完整性等的反对。
用户认证协定（The User Authentication Protocol）：用户认证协定为服务器提供客户端的身份甄别。
连贯协定（The Connection Protocol）：连贯协定将加密的信息隧道复用成若干个逻辑通道，提供给更高层的利用协定应用。
同时还有为许多高层的网络安全利用协定提供扩大的反对。
各种高层利用协定能够绝对地独立于 SSH 根本体系之外，并依附这个根本框架，通过连贯协定应用 SSH 的平安机制。
SSH 的平安验证
在客户端来看，SSH 提供两种级别的平安验证。
第一种级别（基于明码的平安验证），晓得帐号和明码，就能够登录到近程主机，并且所有传输的数据都会被加密。然而，可能会有别的服务器在假冒真正的服务器，无奈防止被“中间人”攻打。
第二种级别（基于密钥的平安验证），须要依附密钥，也就是你必须为本人创立一对密钥，并把私有密钥放在须要拜访的服务器上。客户端软件会向服务器发出请求，申请用你的密钥进行平安验证。服务器收到申请之后，先在你在该服务器的用户根目录下寻找你的私有密钥，而后把它和你发送过去的私有密钥进行比拟。如果两个密钥统一，服务器就用私有密钥加密“质询”（challenge）并把它发送给客户端软件。从而防止被“中间人”攻打。
在服务器端，SSH 也提供平安验证。在第一种计划中，主机将本人的专用密钥分发给相干的客户端，客户端在拜访主机时则应用该主机的公开密钥来加密数据，主机则应用本人的公有密钥来解密数据，从而实现主机密钥认证，确保数据的保密性。在第二种计划中，存在一个密钥认证核心，所有提供服务的主机都将本人的公开密钥提交给认证核心，而任何作为客户端的主机则只有保留一份认证核心的公开密钥就能够了。在这种模式下，客户端必须拜访认证核心而后能力拜访服务器主机。
参考链接：
https://sslhow.com/how-encryp…