En mi caso a mi servidor de SSH solo conecto yo y solo hay un usuario local que soy yo y es el único que puede entrar (no obstante también tengo el AllowUsers por si acaso) por tanto si entran con ese usuario entonces ya es como si fueran root (tiene permisos para sudo), por tanto tener el puerto > 1024 no oafecta demasiado.

También no hay que descuidar la seguridad del resto de servicios y tenerlos en un lugar que aunque entren a ellos no logren entrar al sistema principal, ya sea con vserver o con máquinas virtuales. Como mi ordenador es muy poco potente sólo soporta vserver y luego redirijo con iptables los puertos hacia las distintas instancias.

A esto súmale que pongo los dibujitos del fingerprint de la llave del servidor y la compruebo antes de entrar, que tengo instalado logcheck y rkhunter y tienes algo bastante seguro, no infalible pero si una solución de compromiso entre seguridad y comodidad.

Ah y tengo mi IP publicada en varios DNS bien conocidos.

Lo cual te debería generar la consiguiente alerta de "man in the middle", a menos que además de tirarte el servidor hayan conseguido también leer /etc/ssh/ssh_host_rsa_key (sólo legible por root).

Si consiguen finalizarte el proceso servidor sshd y poner otro proceso a la escucha seguramente también tienen acceso de root.

Claro que quizá pudieran suplantar el servidor escuchando en INADDR_ANY con otro escuchando en la interfaz específica.

Perdonad mi ignorancia pero yo tengo en mi router un puerto mayor que 1024 abierto y redirigido al puerto 22 de mi servidor casero. Entiendo que en este caso no está afectado por lo que comentas, ¿no?

Gracias!!