Это самый частый вопрос, задаваемый мне людьми, которые впервые сталкиваются с ssh ключом и авторизацией по ssh ключу. Все очень просто.

Когда вы авторизуетесь по логину и паролю, вы отправляете данные через интернет. В этот момент злоумышленник может перехватить трафик и прочитать Ваши данные. При авторизации по ключу с паролем, вы вводите пароль для подтверждения того, что именно Вы являетесь его владельцем. И уже после этого, ключ отправляется через интернет серверу.

Не исключено, что в момент передачи ключа серверу злоумышленник может каким-то образом перехватить трафик и получить Ваш ключ. Но он не сможет им воспользоваться, т.к. не знает пароля от ключа.

Надеюсь понятно объяснил.