Za posledních 25let, mám přesně nula kompromitací roota přes ssh. Stačilo nepoužívat hesla ale klíče.V dřevních dobách k tomu pomáhal i denyhosts, posledních cca 8let pak fail2ban. Samozřejmě, kde to jde, omezit firewall na trusted IP. Mám něco mále přes sto hostů a rozhodně to nehodlám měnit a vrace se k nějakým heslům.