关于 ssh 客户端的安全性疑问

[hutng]

一般都是用 putty，xshell，Finalshell 等，VPS 的 ip 、端口、用户名、密码密钥，都在这些客户端手里。

只要它们愿意，你的 VPS 是不是随时都是肉鸡？

我并非不信任这些客户端，仅探讨安全性而已，有办法规避这个问题吗。企业用户在这方面有什么方案吗？不会都是命令行手输吧，机器多了怎么办

[Osk]

反正 puuty 发生过被国内网站篡改的情况.

[lcdtyph]

我用 ~/.ssh/config 管理多个机器

[lithiumii]

审查代码然后自己编译？

[est]

企业用户有堡垒机。记录所有输入输出。

[lhx2008]

一般都是经过代理进去的，连的是内网，没问题

[ysc3839]

显然是的。所以此类工具一般会选择开源的，且同时要去官网下载。
比如 PuTTY 出现过非官方的窃取密码的版本，Xshell 出现过服务器被入侵植入后门代码的事件。

[cxtrinityy]

windows 现在不是有 powershell ？

[liberty1900]

命令行也可以很简单，机器多了直接 alias

[liberty1900]

如果实在喜欢 GUI 界面，下载去官网，下载完的时候用 checksum 和官网对比下做个 check
即使这样也可能存在风险，但没有绝对安全的系统

[37Y37]

登录通过堡垒机，堡垒机记录所有输入输出信息以备审查，开发过这类系统，可以了解下 https://blog.ops-coffee.cn/webssh

[hutng]

感谢楼上各位大佬的回复，尽量选择靠谱的软件，官方下载渠道吧。搭建堡垒机什么的确实有点麻烦。

[flynaj]

看一下软件的数字签名，上面的软件都有，没有签名或者签名错误就要小心了