如果用户只使用 ssh 密钥认证，我是否应该为用户创建密码？

Question

我正在添加一个新用户帐户（到 CentOS 6.2 框），该帐户将仅使用 ssh 密钥身份验证（当然使用强密钥密码）。我已在 sshd_config 中禁用 ssh 密码身份验证。

我是否应该passwd为他们设置密码？不设置密码是否存在安全问题？

Answer 1

不，如果您只使用 SSH 密钥验证，则不需要密码。

即使您为该用户设置了密码，您也可以禁用sshd_config特定用户/组的密码验证。

Answer 2

这取决于他们是否可以使用其他类型的交互式登录。

1. 物理访问
2. 苏
3. 通过pam使用/etc/passwd任何其他服务进行身份验证

我认为至少设置一个密码是个好习惯——如果你不能 100% 确信另一个应用程序可以通过pam使用/etc/passwd

Answer 3

登录时无需使用密码，但我建议在用户的私钥上使用密码。这意味着您必须使用转发代理，但如果用户的计算机被访问或被破坏，您将在用户端提供安全保障。

除了这个潜在问题之外，您确实应该提高安全性，因为攻击者甚至无法尝试破解密码。