In meinem Projekt muss ich sftp für einige Benutzer deaktivieren, diese Benutzer müssen jedoch weiterhin eine Verbindung über ssh herstellen. Weiß jemand, wie man das umsetzt?
Ich habe Vorschläge zur Änderung der Datei unter gesehen /etc/ssh/sshd_config, bin mir aber nicht sicher, was ich ändern soll.
Antworten:
Im Allgemeinen ist dies aus Gründen, die andere aufgelistet haben, eine schlechte Sicherheitspraxis. Ich denke jedoch, der Sinn Ihrer Aufgabe ist es, Ihnen beizubringen, dass Sie bedingte Konfigurationsabschnitte haben können, die auf verschiedenen Kriterien basieren.
Die Möglichkeit dazu besteht in der Verwendung eines Matchbedingten Blocks *.
Match User bob
Subsystem sftp /bin/false
Siehe sshd_config(5)unter dem MatchAbschnitt für weitere Informationen und passende auf Group.
* Es gibt mehr als einen Weg, dies zu tun.
Das ergibt keinen Sinn, es ist Sicherheit durch nutzlose Dunkelheit. Jeder Benutzer, der SSH kann, kann alle Dateien, die er lesen kann, über die SSH-Sitzung übertragen. Sie können auch schreiben, wenn Sie dazu berechtigt sind.
Sie können beispielsweise / etc / passwd über ssh mit der folgenden Methode herunterladen (keine scp / sftp-Sitzung erforderlich): ssh foo@bar.com "cat / etc / passwd"> passwdcopy
Wenn Sie es über SSH auf Ihrem Bildschirm sehen können, können Sie es einfach als Datei kopieren.
Dies ist nur dann sinnvoll, wenn Sie eine benutzerdefinierte eingeschränkte Shell haben, die eine Sicherheitsrichtlinie erzwingt.
Das Gegenteil davon ist jedoch sinnvoll (Deaktivieren der ssh-Shell, aber Deaktivieren von scp / sftp), da Sie keine willkürlichen Befehle über sftp / scp ausführen können, die Sie über eine ssh-Shell ausführen können.
PS: Ich gehe davon aus, dass die SSH-Shell, die Sie gewähren, eine Standard-Shell ist, die eine beliebige Ausführung ermöglicht. Wenn dies nicht der Fall ist , lesen Sie Folgendes : So deaktivieren Sie das SFTP-Subsystem für einen bestimmten Benutzer oder eine bestimmte Gruppe? und werfen Sie einen Blick auf die Subsystem-Konfigurationsoption von sshd_config.
Match Group nosft
Subsystem sftp /bin/false
Ich bevorzuge es, dafür eine Gruppe zu verwenden.
Dies ist in Kombination mit Benutzern mit eingeschränkten Shells nützlich. Manchmal erteile ich einem Client ssh-Zugriff, damit er auf einen SQL-Dump seiner Datenbank zugreifen kann, indem er seine Shell auf ein Skript setzt, das seine Daten speichert. Es scheint auch eine kluge Idee zu sein, sie von scp abzuschneiden. Sie haben keinen Zugriff auf die Ausführung cat, um eine Datei über ssh zu übertragen.
Directive 'Subsystem' is not allowed within a Match block
Es ist möglich, SFTP global zu aktivieren und SFTP nur für einige Benutzer zu deaktivieren.
Dies funktioniert nicht, wenn Ihr Benutzer eine reguläre Shell-Eingabeaufforderung erhalten soll. Es macht auch keinen Sinn, da Sie die meisten Dinge umgehen könnten, wenn Sie Shell-Zugriff haben. Dies funktioniert nur, wenn Sie nur Zugriff auf ein bestimmtes Programm gewähren möchten.
Ich persönlich benötige dies, weil ich über SSH Zugriff auf einige Git-Repositorys gewähren möchte und ich nicht benötigte Systeme gerne deaktiviere. In diesem Fall wird SFTP nicht benötigt.
Um eine Gruppe von Benutzern abzugleichen, können Sie SSH mit dem MatchSchlüsselwort konfigurieren . Aus dem sshd_config(5)Handbuch:
Match
...
The arguments to Match are one or more criteria-pattern pairs or the
single token All which matches all criteria. The available criteria
are User, Group, Host, LocalAddress, LocalPort, and Address. The
match patterns may consist of single entries or comma-separated
lists and may use the wildcard and negation operators described in
the PATTERNS section of ssh_config(5).
...
Einige Beispiele:
Match User eva Entspricht dem Benutzer "eva"Match User stephen,maria Entspricht den Benutzern "stephen" und "maria"Match Group wheel,adams,simpsons Entspricht den Gruppen "Wheel", "Adams", "Simpsons"Wenn Sie weitere Informationen wünschen, enthält das sshd_config(5)Handbuch zahlreiche Informationen .
Normalerweise erhalten Sie die Anmeldeshell des Benutzers, wenn Sie eine Verbindung über SSH herstellen. SSH kann jedoch so konfiguriert werden, dass ein bestimmter Befehl erzwungen wird. Der Befehl wird für jede SSH-Verbindung, einschließlich SFTP, erzwungen, sodass Sie möglicherweise die Option haben, den gewünschten Befehl zu erzwingen.
Der zu erzwingende Befehl kann mit dem ForceCommandSchlüsselwort konfiguriert werden . Aus dem
sshd_config(5)Handbuch:
ForceCommand
Forces the execution of the command specified by ForceCommand,
ignoring any command supplied by the client and ~/.ssh/rc if
present. The command is invoked by using the user's login shell
with the -c option. This applies to shell, command, or subsystem
execution. It is most useful inside a Match block. The command
originally supplied by the client is available in the
SSH_ORIGINAL_COMMAND environment variable. Specifying a command of
“internal-sftp” will force the use of an in-process sftp server that
requires no support files when used with ChrootDirectory. The
default is “none”.
So können Sie den eingeschränkten Befehl erzwingen, den Sie verwenden möchten ForceCommand <your command>. Beispielsweise:
Match User kim
ForceCommand echo 'successful login man, congrats'
In meinem Fall, in dem ich Git-Zugriff gewähren möchte, muss der Benutzer nur Zugriff darauf haben git-shell. In diesem Abschnitt wird SFTP für meine Git-Benutzer zusammen mit einigen Sicherheitsoptionen deaktiviert:
Match Group git
# have to do this instead of setting the login shell to `git-shell`,
# to disable SFTP
ForceCommand /usr/bin/git-shell -c "$SSH_ORIGINAL_COMMAND"
# disable stuff we don't need
AllowAgentForwarding no
AllowTcpForwarding no
AllowStreamLocalForwarding no
PermitOpen none
PermitTunnel no
PermitTTY no
X11Forwarding no
Match User bob
MaxSessions 0
Getestet und lauffähig unter CentOS 6.6. Beachten Sie, dass Subsystem mit Match mindestens auf neueren CentOS-Versionen nicht zulässig ist. Die Manpage für sshd_config listet die eingeschränkten Schlüsselwörter auf, die mit der Übereinstimmungsbedingung zulässig sind.
Sie können scponly anschauen , um das Gegenteil zu tun. Erlauben Sie nur scp / sftp, aber keinen Shell-Zugriff.
Ich stimme @ Nathan oben zu, das macht nicht viel Sinn. Wenn Sie fertig sind, versuchen Sie, Ihre / etc / ssh / sshd_config-Datei zu bearbeiten und die folgende Zeile zu entfernen / auskommentieren:
Subsystem sftp / usr / libexec / openssh / sftp-server
Gib kein Home-Verzeichnis für den Benutzer an
usermod username -d /bin/false
Ändern Sie das Subsystem sftp / usr / libexec / openssh / sftp-server in der Datei / etc / ssh / sshd_config in das Subsystem sftp / dev / null / usr / libexec / openssh / sftp-server
Starten Sie dann das ssh neu
service ssh restart
es funktioniert bei mir, debian.
ownerfür den ausgehenden Zugriff. Dies setzt voraus, dass Sie von einem Red-Team einem Pen-Test unterzogen werden. Wenn jeder, der auf Ihr System zugreift, immer die Regeln befolgt und niemals Vorsatz hat, wäre mein Ansatz hartnäckig und übermäßig komplex.