Keine Passwort-Authentifizierung gegen den SSH-Server machen, sondern entweder Zertifikat+Password oder OTP. Mit Zertifikat+Password nutzt dem Angreifer das Passwort allein nix, denn das Zertifikat fehlt. Mit OTP hat man noch die eventualitaet des Kopierten Zertifikats ausgeschlossen, denn die Berechnung des One-Time-Passworts kann woanders erfolgen, z.b. auf dem Mobiltelefon. Natuerlich sollte man sich auch gegen eine MITM-Attacke absichern indem man den Hostkey ueberprueft.

Ich z.b. habe bei meinen wichtigeren Accounts (dort wo man z.b. ueber wheel zu root werden darf wenn man das rootpw kennt) die Passwortauthentifizierung komplett abgeschalten und erlaube nur noch Zertifikat bzw OTP. Auf meinem Telefon hab ich dann ein Programm mit dem ich ein OTP erzeugen kann. So komme ich selber nicht in die verlegenheit “mal schnell” auf einem fremden Rechner mein passwd einzugeben.