我初中一年级的时候一个同学就说过很有道理的话：你交的税越多说明你的收入越多，总之是好事。税金能产生外部性提升，无论平均到个人多么微小也是有益的。纠结于缴税一辈子都不开心，换个国家多半也一样，不如早点觉悟。

@TangMonk 装Windows/Linux做开发机和家用服务器

我买过3台MacBook。我觉得不是Retina屏的Mac意义不大。

@ryd994 我总结一下我的观点。任何password及其用加密链保护的变体不能保存在计算机媒介上，写在餐巾纸或者记成口诀、七言绝句都更安全。

如果一定要保存在计算机媒介上（这时已经败了），加密链上的每个保护密码的强度必须大于被保护对象才有意义

@ryd994 noligin只是对login/shell有用，写个程序不用shell轻松绕掉

@ryd994 login用户能关掉r权限自然也能开启r权限，不存在只能用私钥不能读的情况

@ryd994 ssh-add 不过是把pass phrase转移到login password上面，一样是比私钥短得多

@ryd994

我想到另外一个问题：一般人会设定多高强度的pass phrase。如果使用私钥的本意是增加密钥长度，那么使用一个短得多的pass phrase来保护它有什么意义呢？

@ryd994

本地安全根本没有想象中好做到。开发调试阶段开发机往往被用作登陆终端。开发机上安装的软件鱼龙混杂，而且个个能读 ~/.ssh/*。开发机会被带着到处跑，会丢

@ryd994

quote "比如服务器可以限制穷举频率，banIP等，这是私钥做不到的"

这就是我说的其他条件一样的情况下，不留下任何硬盘上的可供破解的原始资料更安全。今天你觉得AES是安全的，也许NSA不觉得，或者过了2年AES被曝有重大缺陷怎么办？那时候你的pass phrase保护的密钥早被人拷走了，在你修复漏洞前攻击者先出手了怎么办

@ryd994

quote "明白sudo能干啥没？有sudor到某一个用户的权限不代表有sudo到root的权限。
这样就可以避免私钥随便被拷走了。"

不懂你在说什么。私钥在终端机上，和服务器上的sudo没有关系

@SharkIng 说了半天说的是私钥被其他程序轻易拷走的风险啊

@ryd994 读完了。你想说什么

@ctexlive 我从头就不赞成Keep Pass啊

@ctexlive 如果同意我们都公认使用~/.ssh/*登录是很脆弱的方案，那么抬杠就可以中止了。我选择临时输入密码，你选择二次验证或者硬件密钥这不冲突

@ctexlive 首先你最好先学习一遍密码学原理这样我们可以统一词汇表。

1）使用登录密码，ssh基于密钥交换/推导算法建立会话秘钥，不会把登录密码在网络上传输。整个过程用服务器的公钥验证服务器，用户的账号密码验证登录用户，这是没有问题的。

2）用户开启的进程有读~/.ssh/*的权限，它要愿意2秒钟就读完并回传到它的服务器上了，你还很难检测出来。这是一个事实

3）默认配置下sudo机制导致知道sudoer的密码就等于知道root密码。不论怎么说sudo后的用户权限一定比sudo前高，这就会导致安全问题。这个问题是虚假的安全感：很多人以为禁掉root只用sudoer账号就安全了，其实根本不是这么回事。sudoer密码泄漏通常造成的影响和泄漏root密码一样的。不用sudo机制，管理员一定会加强管理root密码，用了sudo（特别是多个sudo账号），管理难度就陡然上升

4）我不推崇用Keep Pass等Keychain工具。原因很简单，我绝不在硬盘上留下任何可以被破解的原始材料。所有条件一样的情况下，临时输密码一定比用存在硬盘上的key安全

@kafkakevin 第三方程序被你启动了以后能读你的~/.ssh/*，这你承认么？承认的话是否承认密钥泄漏了呢？ ssh服务在远程机器上，我根本不用关心ssh服务

@ttimasdf 你的系统的安全依赖于Keep Pass这类Keychain程序的安全性。恶意程序可以先拷走你的Keep Pass数据库和~/.ssh/（因为它的进程有你的uid），然后等Keep Pass出安全漏洞他好本地加速破解

@ctexlive 你第一次登录真实主机的时候ssh会记录下它的公钥，之后你假如被DNS劫持，中间人服务器由于没有主机的私钥是不能和你记录下来的公钥匹配的，你会得到报警！

但是这是验证对方主机身份，和你用临时输入的密码还是~/.ssh/来提供你的身份证明没有关系