ssh 的私钥就放在~/.ssh 下，不是很容易泄露吗，什么软件都能去读，为什么说比密码安全？

[jurassic2long]

如题，题主对网络攻防完全外行，只是从日常使用中感觉是这样。

[gtgc2005]

日常不建议用 root 用户操作，非 root 权限无法操作 /root 目录

[haozi1986]

难道你没设置文件权限？……

[jurassic2long]

@gtgc2005
@haozi1986
不用 root ，有权限，但是用户自身的账号权限也能读取呀；
还有 Windows 系统的情况，很多时候好像自带管理员权限，user 文件夹随便访问。

[leavic]

安全的是可以防止弱密码，如果 key 随便丢，那和用 123456 做密码一样。

[jurassic2long]

@leavic 不是随便丢，就是再它原来的位置，只是觉得什么软件都能去读它。

[liuxey]

是这样子的，自从给.ssh 文件夹上了监控，发现不少软件会读这个文件夹。

[zhzy0077]

1. 私钥是可以上密码的
2. 密码验证会被中间人，密钥不会
3. 2048 bit 的 RSA 密钥*大概*相当于 log64(2^2048) = 341 长度的随机密码

[jurassic2long]

如果我是攻击者，我会写个有点用又看起来人畜无害的小程序，然后悄悄去扫~/.ssh

再进一步说，xshell 、putty 等类似的软件是不是掌握了巨量的密码、密钥，想想就不太安全

[yfugibr]

ssh 密钥是可以设置密码也推荐设置密码的。
我理解 ssh 密钥是为了增强安全性（防止直接爆破服务器），而不是简化操作（无密码登录，如果可以保证本地设备安全的话，确实可以这么干）

[jurassic2long]

@zhzy0077 确实，我一直用无密码的密钥，都忘记可以上密码这茬了，感觉这个习惯不好。。

[jurassic2long]

@yfugibr 嗯嗯 这么理解感觉就通顺了

[singerll]

说他安全主要是说的服务端，没说客户端比较安全。

[gtgc2005]

@zhzy0077 学习了

[Felldeadbird]

我认为这么理解。
1. 你有私钥，你登录目标服务器，只有你可以登录。

2.你登录后，在服务器乱装软件，软件权限还给得很高。软件把服务器 IP 和~/.ssh 的密钥搞下来了。

3. 你私钥泄露了。任何人都可以访问了。

[momocraft]

不要执行你不相信的软件

[AoEiuV020CN]

正常.ssh 放的不是当前 linux 的登录私钥，
linux 桌面用户少，.ssh 存放了服务器私钥的 linux 桌面用户更少，在这基础上还乱运行闭源未知软件的用户就更更少了，
楼主说的确实有可能，但考虑用户量，就算真有人开发针对这些人病毒木马，感觉也未必能收回成本，

[wtsamuel]

你不信任的软件就应该丢进虚拟机里

[estk]

任意路径不都是强制 chmod 600 才允许使用吗？

[luxor]

authorized_keys 是公钥

[nightwitch]

服务端~/.ssh 不会放私钥，只会放公钥。

如果你说的是自己桌面端~/.ssh 的私钥，ssh 提供加密的功能。