Я часто упоминаю в статьях ssh ключи. В определенный момент ко мне пришло осознание того, что про них-то написать я и забыл. Статья примитивная, но «чтобы было». Опытные пользователи в статье заметят много странностей, они смогут сказать много «а вот тут можно и так». man ssh-keygen я и сам могу почитать. И вы можете. Я не собираюсь его в сотый раз здесь переписывать.

SSH ключи позволяют авторизовываться нам на сервере без ввода пароля пользователя. Для чего оно? Кто-то говорит, что так безопаснее (отчасти они правы, в конце статьи покажу почему). Для меня же это удобный способ авторизовываться на тех пачках серверов, куда у меня есть доступ.
Логика действия простая — на сервере хранится открытая часть ключа, у вас — закрытая. При попытке авторизации происходит обмен частями ключа, если они «подойдут друг к другу» — сервер вас пустит. Мы сидели и считали — ssh ключик могут поломать года за 3 большим кластером (впрочем, могут и с первой попытки). Но вы же настроили fail2ban, верно? В любом случае, шанс — меньше.

Теперь по поводу пароля на ключ. Для кросс-авторизации между серверами (для работы rsync, например) использовать пароль — глупо. Поэтому я создаю отдельные ключи для каждого сервера (без пароля), кладу их подальше и кроном каждый час дергаю откуда-нибудь актуальный список.

Для себя же я использую запароленный ключ. Один черт, убунта или дебиан после первого ввода сохраняют ключ расшифрованным в памяти до логаута (а когда мы отходим от ноута — мы нажимаем ctrl-alt-l, right?). Остальным, вероятно, придется вводить пароль при каждом коннекте или настроить ssh-agent ручками.

Ну да ладно. Всё равно ssh ключи — они из разряда «must have».

Сначала создадим ключ у себя на локальной машине (тем пользователем, которым мы обычно сидим в системе. Хотя, можно и рутом создать, но и ходить по ssh нужно будет тоже рутом):
inky@laptop:~$ ssh-keygen -t dsa -b 1024
# создаем ключ зашифрованный алгоритмом dsa, 1024 бита
дальше нам задают вопросы:
Enter file in which to save the key (/home/inky/.ssh/id_dsa): жмем enter
Enter passphrase (empty for no passphrase): вводим пароль от ключа
Enter same passphrase again: и ещё раз пароль от ключа
Дальше нам напишут:
Your identification has been saved in /home/inky/.ssh/id_dsa.
Your public key has been saved in /home/inky/.ssh/id_dsa.pub.

Файлик /home/inky/.ssh/id_dsa нужно беречь как зеницу ока и не допускать его попадания в чужие руки.
/home/inky/.ssh/id_dsa.pub — открытая часть ключа, её содержимое кидаем на сервер.
Как закидывать Pub часть. Простейший способ, который есть не везде:
inky@laptop:~$ ssh-copy-id root@server -p22
У нас спросят пароль.
После этого мы сможем подключаться к серверу по ключу. И спрашивать у нас будут пароль ключа (если будут). Всё это актуально, если вы не отключили авторизацию по ключам на сервере.
Если у вас нет утилиты ssh-copy-id, то вам нужно закинуть содержимое файла id_dsa.pub в ~/.ssh/authorized_keys одной строкой. Например:
inky@laptop:~$ cat ~/.ssh/id_dsa.pub | ssh user@server "touch ~/.ssh/authorized_keys && tee ~/.ssh/authorized_keys" && ssh user@server "cat ~/.ssh/authorized_keys"

Возьмите в привычку всегда делать вот такое:
inky@laptop:~$ chmod -R 600 ~/.ssh/
user@server:~$ chmod -R 600 ~/.ssh/

Ну и да. Если вы сохранили ключ в недефолтное место, то используйте параметр -i (и для ssh-copy-id, и для ssh):
inky@laptop:~$ ssh-copy-id -i /somedir/id_dsa.pub user@server
inky@laptop:~$ ssh -i /somedir/id_dsa.pub user@server

А теперь почему безопаснее. Вы представляете насколько сложнее нагенерировать столько 1024 битных ключей, чтобы один из них подошел? нет? http://ru.wikipedia.org/wiki/DSA почитайте) А там ещё и псевдослучайные цифры.
И запароленный файлик менее уязвим, чем куча паролей, которые нам приходится где-либо хранить.