Journal : Prison SSH

Posté par FRLinux (page perso, ) le 16 janvier 2005

Mon petit journal, j'ai enfin trouvé le temps de rédiger cet article sur la prison SSH (chroot) et la possibilité d'allouer à vos utilisateurs SSH un espace virtuel de jeu convivial et restreind :)

http://frlinux.net/?section=securite&article=145(...)

> Lire le journal (11 commentaires, moyenne: 0,9).

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

version ? + isolation entre utilisateurs

Posté par baud123 (Jabber id, page perso, ) le 16/01/2005 à 01:31. (lien). Évalué à 6.

c'est pas plutôt openssh-3.9p1 ? au lieu de 3.8...

tu te retrouves avec une arborescence :
bin dev etc home lib usr

Quels exécutables sont sélectionnés ? (un lien vers la liste ce sera bon...)
Y-a-t-il duplication de l'espace disque nécessaire ? Ce n'est pas par utilisateur qu'il faut recréer l'intégralité de l'environnement ? Tous les utilisateurs sont dans le même chroot ou sont-ils isolés les uns des autres ?
A te lire, j'ai l'impression que tout le monde se retrouve dans le même chroot et qu'il n'y a qu'une copie ? Si l'on souhaite isoler chaque utilisateur, cela amène à créer autant de chroot que d'utilisateurs... j'ai bon ?

Comment les binaires "copiés" (je prends cette hypothèse) sont-ils à tenir à jour ? (alerte de sécurité...)

[^]Re: version ? + isolation entre utilisateurs

Posté par Rin Jin (page perso, ) le 16/01/2005 à 12:15. (lien). Évalué à 2.
Comment les binaires "copiés" (je prends cette hypothèse) sont-ils à tenir à jour ? (alerte de sécurité...)

C'est une question que je m'étais déjà posée, et je n'ai pas pu avoir de vrai réponse. J'imagine mal que se soit des liens (soft ou hard, peu importe) et je suppose donc que les fichiers sont copiés.
N'existerait-ils donc pas de paquets debian ( utilisant celle-ci je n'ai pas cherché pour d'autres distrib ) déposant les fichiers là où il faut, quitte à laisser toute la config à l'utilisateur?
Je ne pense pas que ce soit si difficile à faire.

--
"On obtient plus de chose en étant poli et armé qu'en étant juste poli" Al Capone

Quelques corrections:

Posté par Michel Pastor () le 16/01/2005 à 01:43. (lien). Évalué à 4.

ligne 5:
"Vous pouvez donc prendrel le patch"

derniere ligne:
"également très pratique vous pouvoir utiliser sftp"

Une autre solution pour la restriction/surveillance de comptes ssh passe par l'utilisation de shells restreints comme:

http://foosh.sourceforge.net/(...)
ou
http://www.pizzashack.org/rssh/(...)
pour le scp et sftp

[+] [^]Re: Quelques corrections:

Posté par Mickaël Menu (page perso, ) le 16/01/2005 à 07:54. (lien). Évalué à -8.
Tout bon rédacteurs doit prendre la peine de relire ses articles, c'est pas respect pour ses lecteurs et permet d'éviter beaucoup de ce genre de coquilles

--
Mickaël Menu - http://m3nu.info/
- [^]Re: Quelques corrections:
  
  Posté par Pascal Terjan (Jabber id, page perso, ) le 16/01/2005 à 09:18. (lien). Évalué à 0.
  s/rédacteurs/rédacteur/
  s/pas/par/
  - [+] [^]Re: Quelques corrections:
    
    Posté par Mickaël Menu (page perso, ) le 16/01/2005 à 11:30. (lien). Évalué à -6.
    Ta raison, mais là, je ne relis pas, c'est pa sun article mais un commentaire,et j'ia pa sle tmeps de tous les relire :p
    
    --
    Mickaël Menu - http://m3nu.info/

Bien plus complet

Posté par cykl (Jabber id, ) le 16/01/2005 à 10:36. (lien). Évalué à 4.

http://www.hsc.fr/ressources/breves/chroot-openssh.html.fr(...)

Ca repondra aux questions laissées en suspend

[^]Re: Bien plus complet

Posté par baud123 (Jabber id, page perso, ) le 16/01/2005 à 21:25. (lien). Évalué à 2.
mais pas toutes les questions :-( la doc' mériterait une mise à jour
ok pour l'isolation des utilisateurs, a priori duplication de jail (prison, chroot...)

Sinon cykl m'a indiqué en plus un outil pour debian permettant de ramener certains binaires choisis (évite de se trimballer plus de 1200 fichiers pour perl à ce que j'avais lu je ne sais plus où) :
http://www.debian.org/doc/manuals/securing-debian-howto/ap-chroot-s(...)

Bonjour quand même les mises à jour du système sur alerte de sécurité s'il y a plusieurs chroot :-(
à voir s'il serait possible de monter un filesystem pour chaque chroot (ça ne ferait plus qu'une mise à jour) ?
- [^]Re: Bien plus complet
  
  Posté par Yggdras () le 17/01/2005 à 13:24. (lien). Évalué à 1.
  Je pense qu'un mount -bind pourrait permettre d'eviter de dupliquer tous les fichiers.
  
  Mais il doit falloir faire un mount -bind pour chaque repertoire (bin etc lib usr home), ce qui me parait beaucoup !
  
  Ou alors, il suffit de mettre tous les chroot dans une meme partition, et utiliser la magie des liens durs :)

pour un shell à commandes restreintes

Posté par baud123 (Jabber id, page perso, ) le 16/01/2005 à 21:17. (lien). Évalué à 4.

Pour limiter les commandes accessibles, dans ./ssh/authorized_keys il est possible d'utiliser la directive
command='ls -ailrt' [snip la clé publique de l'utilisateur]

Bon ça ne marche que pour une seule commande (donc utilisation sévèrement limitée... :-( )

Heureusement, il y a authprogs qui permet de configurer plusieurs commandes acceptées, je vous laisse lire
http://www.hackinglinuxexposed.com/articles/20030115.html(...)
et sa doc' (faut lire le code source :-) ) http://www.hackinglinuxexposed.com/tools/authprogs/(...)
=> ça amène à installer perl pour installer plus de sécurité (l'auteur s'excuse de ne pas l'avoir écrit en C) mais c'est bien utile...
En revanche, ça ne fonctionne bien que pour des commandes en SSH ; pour scp en SSH1 aussi, mais en SSH2 seule la ligne /usr/bin/sftp-server (je ne suis plus sûr du chemin) apparaît comme commande :-(

Clarifications

Posté par FRLinux (page perso, ) le 18/01/2005 à 21:09. (lien). Évalué à 1.

Bonsoir,

Désolé pour le retard dans les réponses, j'ai beaucoup de travail actuellement. Oui, il est vrai que je devrait relire, mais je manque un peu de temps.

Pour la version, non, on parle bien de 3.8.1p1 + patches, je suis resté sur la dernière version dispo dans sid (je ne parle pas d'experimental).

Il y a en effet une duplication de l'espace nécessaire, bien que si tu consultes le script qui crée le chroot, c'est relativement minime (principalement car je n'ai pas de gros besoins de binaires si ce n'est rsync et ssh pour mes utilisateurs).

Quant au makejail, je le note, très bon outil. Le script que j'ai pris prends moins de place (signalons qu'il ne copie que le strict nécessaire).

Merci à ceux qui m'ont lu.
Steph

Revenir en haut de page

Journal : Prison SSH

version ? + isolation entre utilisateurs

[^]Re: version ? + isolation entre utilisateurs

Quelques corrections:

[+] [^]Re: Quelques corrections:

[^]Re: Quelques corrections:

[+] [^]Re: Quelques corrections:

Bien plus complet

[^]Re: Bien plus complet

[^]Re: Bien plus complet

pour un shell à commandes restreintes

Clarifications