Ativar acesso ao shell SSH, mas desativar o acesso SFTP

Procurei uma resposta viável para essa pergunta e a maioria das respostas inclui conselhos sobre por que não fazê-lo. No entanto, aqui está o cenário e o que é necessário:

Eu tenho um aplicativo de console e, no perfil de cada usuário, existe um comando de inicialização para o aplicativo e, diretamente após o comando que o inicia, existe um comando "exit", que os desconecta do sistema. Eu só quero que eles possam acessar este aplicativo de console através da interface fornecida por ele. Na inicialização, o aplicativo apresenta ao usuário uma lista de clientes que podem ser acessados ​​pelo aplicativo, com cada cliente tendo seu próprio diretório de dados. Os usuários têm acesso concedido apenas aos clientes aos quais precisam acessar.

Agora, aqui está o problema: se eu der aos usuários acesso SSH, eles também poderão fazer login usando um cliente SFTP, que lhes dará acesso direto aos diretórios de dados do aplicativo, o que é MUITO indesejável, pois isso também fornecerá eles acessam os diretórios de dados aos quais eles não devem ter acesso.

Isso era uma coisa tão simples de se fazer ao usar uma combinação de telnet / FTP, mas agora que desejo dar aos usuários acesso de qualquer lugar da Internet, não consegui encontrar uma maneira de excluí-los do SFTP, enquanto ainda permitindo que eles acessem o shell onde eles podem executar o aplicativo.

Editar:

Caso isso não seja óbvio, a resposta a seguir não pretende ser um método seguro de impedir que o SFTP seja usado por qualquer pessoa com acesso ao servidor. É apenas uma resposta que explica como desativá-lo da visibilidade externa. Para uma discussão sobre segurança no nível do usuário, consulte as respostas de @cpast e @Aleksi Torhamo. Se a segurança é seu foco, esta resposta não é a correta. Se o seu foco é a simples visibilidade do serviço, então esta é sua resposta.

Agora continuamos com a resposta original:

Comente o suporte ao sftp no sshd_config (e, é claro, reinicie sshd):

#Subsystem sftp /usr/lib/openssh/sftp-server

Como outros já mencionaram, a desativação sftpnão é nem de longe suficiente - um usuário com sshacesso irrestrito pode visualizar qualquer arquivo que sua conta tenha permissão para visualizar, pode modificar qualquer coisa que tenha permissão para modificar e pode facilmente baixar qualquer coisa que possa ler por conta própria máquina. A única maneira de impedi-los de fazer isso é restringir o acesso deles. Também não é ideal confiar .profilepara restringir os usuários, pois não é para isso (editar: Como Aleksi menciona em sua resposta, é de fato trivial ignorar .profile; o importante .profileé que é por conveniência, não por segurança, por isso não é para restringir o usuário.Use itens projetados para segurança, como os itens abaixo, para fornecer segurança).

Há duas maneiras básicas de fazer isso: você pode restringi-las por meio de permissões de arquivo ou forçá-las a executar apenas seu aplicativo de console. A segunda maneira é melhor: atribua usuários que devem ser restritos ao aplicativo do console a um grupo (por exemplo customers); em seguida, sshd_configadicione as seguintes linhas:

Match Group customers
ForceCommand /path/to/app

O que isso faz é permitir que todas as conexões dos usuários desse grupo abram o aplicativo do console; eles não podem iniciar mais nada, incluindo a sftpferramenta de servidor. Isso também os impede de fazer qualquer outra coisa com o sistema e, ao contrário .profile, o faz usando o próprio servidor SSH ( .profilerestringe-os no shell, ForceCommandtambém impede que outras coisas que não envolvam iniciar um shell). Também .profile, diferentemente , isso é projetado como uma coisa de segurança; foi feito especificamente para resistir a um usuário mal-intencionado que evita isso.

A alternativa (provavelmente inferior) envolveria a criação de um novo usuário para executar o aplicativo do console. Você restringiria os diretórios de dados a esse usuário, configuraria o aplicativo de console pertencente a esse usuário e u+so programa. Essa é a parte setuid; isso significa que alguém que executa o programa do console faz isso com as permissões do proprietário do programa. Dessa forma, o próprio usuário não tem acesso aos diretórios, apenas o obtém através do programa. No entanto, você provavelmente deve apenas usar ForceCommand, pois isso restringe todo o acesso a "basta executar este programa".

Não tente fazer isso com isso, .profileporque ele não oferece segurança alguma e restringe exatamente nada!

Não importa o que você colocar em .profile, desde que você pode ignorá-lo, basta dar um comando para executar na linha de comando ssh, como este: ssh user@host command. Você ainda pode obter acesso normal ao shell fazendo isso ssh -t user@host bash.

Desabilitar o subsistema sftp, como mencionado em outra resposta, não ajuda em nada. Os subsistemas são essencialmente apenas aliases de comandos, e você ainda pode usar o sftp normalmente fazendo isso sftp -s /path/to/sftp-executable user@host.

Como cpast e alguns comentaristas disseram, você deve usar os mecanismos adequados para restringir o acesso. Isso é,

• Use ForceCommandemsshd_config
• Use login sem senha e command="..."em.ssh/authorized_keys
• Altere o shell do usuário para algo que restrinja o que o usuário pode fazer

Notas:

• command="..." aplica-se apenas a uma chave, por isso não restringe o login ssh para o usuário usando uma senha ou outra chave
• Você também pode restringir o encaminhamento de porta, etc. (encaminhamento de porta, encaminhamento x11, encaminhamento de agente e alocação de pty são os que eu já ouvi falar)
  • AllowTcpForwarding etc. em sshd_config
  • no-port-forwarding etc. em .ssh/authorized_keys
• Se você tiver outros daemons (como FTP) em execução, verifique se eles não permitem a entrada do usuário (alguns daemons tomam essa decisão com base no shell do usuário; portanto, se você alterar isso, verifique novamente)
• Você pode alterar o shell do usuário para um script que faça o que você deseja; ou é executado sem argumentos ou comoscript -c 'command-the-user-wanted-to-run'
• Ambos ForceCommande command="..."executam o comando através do shell do usuário, para que não funcionem se o shell do usuário estiver definido como, por exemplo. /bin/falseou/sbin/nologin

Isenção de responsabilidade: eu não sou especialista no assunto de forma alguma, por isso, enquanto posso dizer que a .profilecoisa não é segura, não posso prometer que não há "pegadinha" com os outros métodos que não conheço sobre. Eles são seguros até onde eu sei, mas eu não seria a primeira pessoa a estar errada na internet.

É possível ativar o SSH e desativar o SFTP globalmente e por usuário / grupo.

Pessoalmente, preciso disso porque quero dar acesso a alguns repositórios git sobre SSH e gosto de desativar sistemas que não são necessários. Nesse caso, o SFTP não é necessário.

Globalmente

Você pode desativar o SFTP para todos os usuários de várias maneiras.

O subsistema ausente

O daemon SFTP usado pelo SSH pode ser configurado através da Subsystempalavra - chave. Do sshd_config(5)manual:

Subsystem
        Configures an external subsystem (e.g. file transfer daemon).
        Arguments should be a subsystem name and a command (with optional
        arguments) to execute upon subsystem request.

        The command sftp-server(8) implements the “sftp” file transfer
        subsystem.

        Alternately the name “internal-sftp” implements an in-process
        “sftp” server.  This may simplify configurations using
        ChrootDirectory to force a different filesystem root on clients.

        By default no subsystems are defined.

A última linha sugere que deve ser suficiente não definir nenhum subsistema para "sftp".

Uma mentira falsa

Você também pode desativar o SFTP configurando o daemon SFTP usado pelo SSH para algo inutilizável. Por exemplo, configure o subsistema "sftp" para /bin/false:

Subsystem sftp /bin/false

Quando algo tentava efetuar login via SFTP, o daemon SSH tentava gerar o "daemon sftp" /bin/false. O /bin/falseprograma faz apenas uma coisa, e isso é retornar um código de erro. A tentativa de conexão SFTP é efetivamente negada.

Por usuário / grupo

Também é possível desativar o SFTP por usuário, grupo ou alguns outros critérios.

Isso não funciona se você deseja que o usuário obtenha um prompt de shell regular. Também não faz sentido, pois você pode contornar a maioria das coisas se tiver acesso ao shell. Só funcionará se você quiser dar acesso a um programa específico.

Coincidindo

Para corresponder a um conjunto de usuários, você pode configurar o SSH com a Matchpalavra - chave Do sshd_config(5)manual:

Match
        ...

        The arguments to Match are one or more criteria-pattern pairs or the
        single token All which matches all criteria.  The available criteria
        are User, Group, Host, LocalAddress, LocalPort, and Address.  The
        match patterns may consist of single entries or comma-separated
        lists and may use the wildcard and negation operators described in
        the PATTERNS section of ssh_config(5).

        ...

Alguns exemplos:

• Match User eva corresponde ao usuário "eva"
• Match User stephen,maria corresponde aos usuários "stephen" e "maria"
• Match Group wheel,adams,simpsons corresponde aos grupos "roda", "adams", "simpsons"

Se você quiser obter mais informações, há muitas cargas no sshd_config(5)manual.

Comando forçado

Normalmente, você obtém o shell de login do usuário quando se conecta via SSH, mas o SSH pode ser configurado para forçar um determinado comando. O comando é forçado para qualquer conexão SSH, incluindo SFTP, e, portanto, você pode ter a opção de forçar o comando desejado.

O comando forçar pode ser configurado com a ForceCommandpalavra - chave Do sshd_config(5)manual:

ForceCommand
        Forces the execution of the command specified by ForceCommand,
        ignoring any command supplied by the client and ~/.ssh/rc if
        present.  The command is invoked by using the user's login shell
        with the -c option.  This applies to shell, command, or subsystem
        execution.  It is most useful inside a Match block.  The command
        originally supplied by the client is available in the
        SSH_ORIGINAL_COMMAND environment variable.  Specifying a command of
        “internal-sftp” will force the use of an in-process sftp server that
        requires no support files when used with ChrootDirectory.  The
        default is “none”.

Assim, você pode forçar o comando restrito que deseja usar ForceCommand <your command>. Por exemplo:

Match User kim
        ForceCommand echo 'successful login man, congrats'

Exemplo

No meu caso em que desejo conceder acesso ao git, só preciso que o usuário tenha acesso git-shell. Esta é a seção que desativa o SFTP para meus usuários git, junto com algumas opções de segurança:

Match Group git

        # have to do this instead of setting the login shell to `git-shell`,
        # to disable SFTP
        ForceCommand /usr/bin/git-shell -c "$SSH_ORIGINAL_COMMAND"

        # disable stuff we don't need
        AllowAgentForwarding no
        AllowTcpForwarding no
        AllowStreamLocalForwarding no
        PermitOpen none
        PermitTunnel no
        PermitTTY no
        X11Forwarding no