SSH服务器是否曾以明文形式接收用户密码？

Question

我只是想知道SSH服务器是否会在身份验证过程中的某个时刻获取普通密码。我知道密码是加密发送的，但它必须以某种方式进行验证，然后由服务器解密。 SSH客户端是否仅发送其密码的哈希值或如何保持安全性？

Answer 1

密码通过加密通道发送到服务器 - 因此无法“通过线路”嗅探 - 但sshd需要明文密码才能验证它是否与本地存储的内容相匹配密码哈希。

因此，当系统遭到入侵时，首先发生的事情之一就是有人替换了sshd，以便它可以收集密码并将其运送到其他地方。

通过使用ssh密钥可以在很大程度上避免这个问题，ssh密钥使用公共/私有加密，不涉及向服务器公开“秘密”，或者通过使用多因素身份验证，这可以减少密码泄露（因为没有第二个因素，密码本身没用）。