使用 ssh-keygen -p 可本地为已有私钥（rsa/ecdsa/dsa）添加或修改口令，支持 pem 或 openssh 格式，升级加密至 aes-256/pbkdf2，需同步设置 chmod 600、禁 git 提交、验证连接。
直接用 ssh-keygen -p 命令即可为已有私钥追加或修改口令，无需在线服务、不依赖外部网站——所有操作都在本地终端完成，安全可控。
老旧私钥（如 RSA、ECDSA 或甚至已弃用的 DSA）只要格式未损坏，均可通过 OpenSSH 自带工具增强保护。关键不是“在线”，而是“就地加固”：避免私钥明文裸奔，防止文件泄露即等于身份泄露。
✅ 确认私钥类型与状态
先检查当前私钥是否已有口令、是否支持重加密：
ssh-keygen -l -f /path/to/id_rsa
- 若输出含
no comment且无报错，说明密钥有效； - 若提示
Enter passphrase后才能读取，说明已有口令； - 若直接显示指纹，说明当前无口令（明文存储，高危！）。
⚠️ 注意：不要对
ssh_host_*_key类主机密钥执行此操作——它们需无口令供 sshd 启动时自动加载。
✅ 执行口令加固（推荐 AES-256 加密）
运行以下命令，为私钥重新封装加密层：
ssh-keygen -p -m PEM -f /path/to/id_rsa
参数说明：
-
-p：进入口令修改模式 -
-m PEM：强制使用传统 PEM 封装格式（兼容性最好，尤其对老旧系统/Java/Python 工具链） -
-f：指定私钥文件路径
执行后会提示：
- 输入原口令（若当前无口令，直接回车）
- 输入新口令（建议 12 位以上，含大小写字母+数字+符号）
- 再次确认新口令
成功后，私钥头部将从 -----BEGIN RSA PRIVATE KEY----- 升级为：-----BEGIN ENCRYPTED PRIVATE KEY-----
（表示已用 PBKDF2 + AES-256-CBC 加密，符合 NIST SP 800-132 标准）
✅ 验证加固效果与兼容性
-
测试能否正常解密使用：
ssh -i /path/to/id_rsa -o IdentitiesOnly=yes user@host -O exit
输入新口令，能连通即生效。
-
检查是否禁用弱加密格式（可选但推荐）：
若旧私钥是 OpenSSL 传统格式（BEGIN RSA PRIVATE KEY），加固后仍保留；
如需升级为更现代的 OpenSSH 格式（BEGIN OPENSSH PRIVATE KEY），加-o参数：ssh-keygen -p -o -f /path/to/id_rsa
✅ 优势：抗暴力破解更强（bcrypt-pw 密钥派生）、支持 Ed25519 密钥；
❌ 注意：OpenSSH
✅ 后续必须同步做的事
- ? 设置严格文件权限：
chmod 600 /path/to/id_rsa - ? 禁止提交到 Git：确保
.gitignore包含id_*、*.pem、*.key - ? 更新对应公钥（
.pub文件不变，无需重生成） - ? 在跳板机、CI/CD 流水线、自动化脚本中，确认调用方式支持交互式口令或已配置
ssh-agent
口令加固不是“锦上添花”，而是生产私钥管理的基础生存线。老旧系统未必能升级 OpenSSH 版本，但只要 ssh-keygen 可用（OpenSSH 5.6+ 均支持 -p），就能立刻堵住最常见的一类凭据泄漏风险。
