Una coppia di chiavi SSH è crittografia asimmetrica: la pubblica va sul server (in ~/.ssh/authorized_keys), la privata resta sul tuo computer e non viaggia mai. Al login il server lancia una sfida che solo chi possiede la privata sa firmare: niente password da indovinare o intercettare.
Il setup in tre comandi: ssh-keygen -t ed25519 (l'algoritmo giusto oggi), ssh-copy-id utente@server, poi ssh utente@server. Metti una passphrase sulla chiave e lascia che ssh-agent la ricordi per la sessione.
Dettagli che fregano: la privata vuole permessi 600 (SSH la rifiuta altrimenti) e una chiave per dispositivo è meglio di una chiave ovunque. Il passo finale è disattivare del tutto il login con password.