SSH之所以能够保证安全，原因在于它采用了公钥加密。 整个过程是这样的：
（1）远程主机收到用户的登录请求，把自己的公钥发给用户。
（2）用户使用这个公钥，将登录密码加密后，发送回来。
（3）远程主机用自己的私钥，解密登录密码，如果密码正确，就同意用户登录。 这个过程本身是安全的，但是实施的时候存在一个风险：如果有人截获了登录请求，然后冒充远程主机，将伪造的公钥发给用户，那么用户很难辨别真伪。因为不像https协议，SSH协议的公钥是没有证书中心（CA）公证的，也就是说，都是自己签发的。 可以设想，如果攻击者插在用户与远程主机之间（比如在公共的wifi区域），用伪造的公钥，获取用户的登录密码。再用这个密码登录远程主机，那么SSH的安全机制就荡然无存了。这种风险就是著名的"中间人攻击"（Man-in-the-middle attack）。
SSH怎么预防中间人攻击
SSH中预防中间人攻击的关键是验证SSH连接的指纹或公钥。指纹是服务器的公钥的哈希值，可以被客户端用来验证它正在与真正的服务器通信。
以下是如何设置和使用SSH指纹的步骤：
首次连接到服务器时，系统会提示你接受服务器的公钥。这时，你应该查看公钥的指纹信息，并与服务器发送的指纹进行比对。
将服务器的指纹信息添加到~/.ssh/known_hosts文件中。
在以后的连接尝试中，SSH客户端将会自动检查known_hosts文件中的指纹，如果与服务器发来的指纹不匹配，连接将会被拒绝，从而防止中间人攻击。
如果你使用的是SSH命令行工具，可以使用以下命令来生成和验证指纹：
ssh-keygen -l -f [公钥文件路径]
上述命令会生成公钥的指纹信息。然后，你可以将这个指纹信息添加到~/.ssh/known_hosts文件中，格式通常是这样的：
主机名\] \[公钥指纹\] \[公钥类型\] \[公钥
请注意，定期检查known_hosts文件，移除或更新不再有效的服务器公钥。