オリジナルの /etc/ssh/sshd_config に

# ChallengeResponseAuthentication no

と書いてあるもんだから、デフォルトでnoだと思っていたら、実はyesなんだそうだ。はまった...。