我正在尝试了解 rsa 公钥私钥对的工作原理。假设有两台服务器：
问答。
为了让 Q 通过 ssh 进入 A，在 Q 中生成了没有密码的密钥对，并将公钥复制到 A。当将此公钥（通过 ssh_copy_id 命令）复制到 A 时，用户 q 必须知道用户 a 的密码（a@A），这是唯一需要 a 密码的时候，以后从 Q 连接到 A 就不需要这个密码了。这是正确的吗？
现在假设黑客从 Q 窃取了私钥，这是否允许黑客从他的笔记本电脑 ssh 进入 A？如果这是真的，那么没有密码的密钥对并不比基于密码的访问更安全。
答案1
问题 # 1...这是唯一需要密码的时候吗？
用户需要将他们的公钥从 Q 传给 A。有多种方法可以做到这一点（系统管理员可以为他们设置，他们可以使用密码登录并自行安装，某种形式的自动化可以添加它）。无论如何，A 的政策是确定是否可以使用密码。因此，在示例中，您不需要再次使用 A 的密码，但是，如果允许使用密码登录，您的密码仍然会受到威胁。
问题2 ...如果黑客获得了私钥，他们可以从另一台服务器登录吗？ 是的，他们可以。假设他们还知道密钥所关联的用户 ID。仅凭私钥是无法让他们访问的。它必须与用户配对。
考虑到您的问题，有多种方法可以保护 A 免受攻击，例如限制其接受登录的网络。这是一个过于复杂的讨论，无法在这里回答，但您可以限制风险。
您认为没有密码的密钥并不比密码更安全，这种假设非常宽泛。与任何安全机制一样，对安全资产的适当控制至关重要。在许多情况下，密钥非常有用，当与访问控制、网络限制等辅助机制结合使用时，它们会非常有效。