A la máquina a la cual nos queremos conectar le llamaré servidor, y la máquina que usamos para conectarnos cliente.

En la máquina cliente tenemos que generar el par de llaves: pública y privada. Para hacerlo hacemos:

ssh-keygen -t rsa

Sólo quien tiene la llave privada puede encriptar el "flujo" para que sea desencriptado por nuestra clave pública residente en el servidor. Esa es una forma que el servidor sabe seguro que somos realmente nosotros quien está conectado a él.

Veremos algo así:

carles@pinux:~$ ssh-keygen -t rsa
Generating public/private rsa key pair.
Enter file in which to save the key (/home/carles/.ssh/id_rsa): 
Enter passphrase (empty for no passphrase): 
Enter same passphrase again: 
Your identification has been saved in /home/carles/.ssh/id_rsa.
Your public key has been saved in /home/carles/.ssh/id_rsa.pub.
The key fingerprint is:
fa:a3:f3:52:ad:2a:bc:fc:f1:a4:96:b4:5e:6c:5b:c4 carles@pinux

Hecho eso tenemos que enviar el id_rsa.pub a la máquina servidor y añadirle el contenido en el fichero $HOME/.ssh/authorized_keys. P. ej., en la máquina servidor hacemos:

cat id_rsa.cliente >> $HOME/.ssh/authorized_keys

Para tener las ideas claras, en authorized_keys tenemos las llaves de quien nos puede conectar a nosotros (si nosotros queremos conectar de servidor a cliente tenemos que hacer el key-gen -t rsa en el servidor y ponerlo en el authorized_keys del cliente.

En el fichero de configuración (/etc/ssh/sshd_config)del servidor tenemos que tener al menos:

Protocol 2
PubkeyAuthentication yes

Ahora usaremos el ssh-agent y ssh-add para no tener que poner cada vez la "passphrase".

carles@pinux:~$ ssh-agent /bin/bash

Entonces hacemos:

carles@pinux:~$ ssh-add 
Enter passphrase for /home/carles/.ssh/id_rsa: 
Identity added: /home/carles/.ssh/id_rsa (/home/carles/.ssh/id_rsa)
carles@pinux:~$ 

Si queremos tener esa capacidad en todo el entorno X, podemos, o bien hacer el ssh-agent /bin/bash despues de arrancar (o de forma automática, etc.) o bien ponemos en nuestro $HOME/.xinitrc algo como:

carles@pinux:~$ cat .xinitrc 
ssh-agent /usr/X11R6/bin/icewm

(En caso que quisieramos que un proceso que no es hijo del ssh-agent tenga acceso a las llaves tendriamos que ponerle las variables de entorno $SSH_AUTH_SOCK y SSH_AGENT_PID hacia el mismo valor que a los hijos de ssh-agent.)

Tambien podemos poner un icono que ejecute:

xterm -T "ssh servidor" -bg black -fg lightgray -e ssh servidor

Si nos ausentamos del escritorio y queremos que ssh-agent olvide nuestra llave, hacemos:

carles@pinux:~$ ssh-add -D
All identities removed.

YO=`/usr/bin/whoami`
AGENTE=`/bin/ps -u $YO -f | /bin/grep "[s]sh-agent" | /usr/bin/awk '{print \$2}'`
if [ x$AGENTE = x ]; then
  /usr/bin/ssh-agent -s > ~/.ssh_agent
  /usr/bin/env \
   `/bin/cat ~/.ssh_agent | /usr/bin/head -2 | /usr/bin/cut -f1 -d\;` \
   /usr/bin/ssh-add ~/.ssh/id_dsa
fi

. ~/.ssh_agent

if [ -f ~/.bashrc ]; then
  . ~/.bashrc
fi

Disclaimer: Sólo probado con Debian. Con *BSD NO funciona puesto que el comando ps reconoce los argumentos de forma distinta.

ssh-copy-id [-i [identity_file]] [user@]machine