Dotaz: vytvoření uživatel s právy pouze na jednu složku?

[Kumor]

Dobrý den, potřeboval bych rychle vyřešit následující věc. Nevím jak vyřešit, aby se mi kamarád mohl přihlásit na počítač pomocí ssh tak, aby mohl zapisovat pouze do jedné jediné složky (ideální by bylo, aby se do jiné ani nedostal, nemohl procházet..)

potřeboval bych, aby se přihlásil a objevil se ve složce /home/karel/obrazky a tam mohl kopírovat věci, ale aby z te složky nemohl vyjet (pokud to jde udělat) a pokud z té složky vyjede, tak aby nikam jinam nemohl zapisovat.

je řešením vytvoření uživatel s právy pouze na jednu složku, pokud ano, jak pak zabrání procházení a jak se to udělá pouze pomocí příkazové řádky?

omlouvám se za příspěvek typu "řekněte mi přesně jak", ale potřebuji to vyřešit rychle..

Děkuji moc za rady Karel Szkandera

ps:ssh mi funguje, já se na svůj počítač odkudkoli přihlásím pomocí ssh karel@moje_ip Linux, distribuce Mandriva

Odpovědi

[michich]

To by kamarádovi mohl stačit scponly shell. Najdi si to.

[Kumor]

abych ještě upřesnil, kamarád(i) budou přistupovat z windowsu a bude potřeba tedy nějaké user-friendly kopírování, tam jsem zamýšlel doporučit jim pak WinSCP3..

[michich]

A právě pro WinSCP scponly naprosto postačuje.

[Kumor]

jj, prave si to ctu, ze to jde, ale zatim jsem nikde nenasel nejaky dobry navod na zprovozneni.. :-/ jenom par veci o tom ze to je dobry nastroj a par prispevku v diskuzich, ze se jim nepovedlo nastaveni :)

jediny kraticky navod jsem zatim nasel na rootu, ale podle nej bych to urcite nenainstaloval a nenastavil..

[michich]

Kde je ten návod a co na něm nechápeš?

[Kumor]

Takže postup by měl byt následující?

1.nainstalovat scponly

2.vytvořit si adresář ve kterém chci aby se uživatel mohl pohybovat (pokud není) v mém případě tedy už je /home/karel/obrazky

3.vytvořit uživatele, který bude mít jako shell scponly a domovský adresář ten výše uvedený

takto:

useradd -d /home/karel/obrazky -s /usr/bin/scponly novy_uzivatel

-je to dobře?

4.provést chroot - nevím jak..

[michich]

Alespoň na první pohled si myslím, že je to dobře. scponly obsahuje dvě binárky: obyčejnou scponly a chrootující scponlyc. Když použiješ jako shell tu druhou, bude uživatel automaticky chrootován. scponlyc musí být SUID root.

[Kumor]

Takže jsem to vyzkoušel takhle: 1.nainstaloval scponly

2.sel do adresare /home/karel/obrazky

3.vytvořil uživatele, který bude mít jako shell scponlyc a domovský adresář ten výše uvedený useradd -d /home/karel/obrazky -s /usr/sbin/scponlyc novy_uzivatel 4. passwd novy_uzivatel

zadal heslo

5. pri pokusu prihlasit se pres Winscp mi vyskoci tyto varovne hlasky error looking up users groups error getting name of current remote directory 5x cant get attributes of file"..." error getting name of current remote directory cant get attributes of file"..." error getting name of current remote directory error listing directory " error getting name of current remote directory

a pote mi najede winscp, ovsem v okne kde by mely byt adresare je pusto a prazdno.. takze kde soudruzi z NDR udelali chybu? :)

[michich]

Zapomněl jsem, že scponlyc potřebuje mít v tom cílovém adresáři zkopírované některé soubory. Ve zdrojákách scponly je skript setup-chroot.sh, který se to snaží dělat automaticky včetně vytvoření uživatelského účtu.

[Kumor]

Ten skript nemůžu najít :-/

zkusil jsem ještě při vytváření nového uživatel nechat vytvořit i jeho domovský adresář, ale ani tudy cesta nevedla - ty samé chyby co předtím..

No asi to nebude tak jednoduché a nestihnu to udělat dnes do večera, než pojedu na hory :(

[Kumor]

Tak se mi to nepovedlo :-/

Návod na vytvoření funkčního chrootu s scponly nemůžu najít, zmiňovány skript setup-chroot.sh taky na, a vlastní pokusy selhávají

[Kumor]

ps: ten návod na rootu je tady, v dolní polovině stránky. Ale nechápu na něm nic..

Stejně jako jsem nebyl příliš moudrý z článku ani diskuze tady na abclinuxu

[honzous]

Proboha proc chces pro kopirovani obrazku pouzivat SSH? Staci, kdyz rozbehnes jakykoliv FTP server, neznam jediny, kde by nebylo mozne zakazat pristup do "vyssich" adresaru.

[michich]

Já zas nechápu, jak může dneska kdokoliv chtít ještě používat nezabezpečené FTP (kromě veřejného anonymního FTP samozřejmě).

[honzous]

Co to znamena "nezabezpecene"? To, ze se jmeno a heslo posila v plain textu? To uz je vec samotneho spravce daneho FTP serveru, jak ti to ohlida. Moznosti sifrovani je cela rada. Takze pokud "nezabezpecene FTP" u tebe znamena "nezabezpecitelne FTP", resp. "protokol urceny k prenosu souboru, kde muze dojit ke ztrate ci uniku citlivych dat", tak je to blabol.

[michich]

Ano, myslel jsem tím posílání hesla v plaintextu. Jak by si to měl podle tebe správce FTP serveru ohlídat, aniž by tím omezil širokou použitelnost FTP? To už fakt lepší windowsákům říct, ať si stáhnou klikací WinSCP. Taky tím odpadnou starosti s firewally a NATy.

[honzous]

Staci sifrovat autentifikaci Nepredpokladam, ze ve slozce /home/karel/obrazky jsou nejaka citliva data, ktera by stala za to prenaset sifrovane, tudiz podstatne pomaleji

[Jiří J.]

No s tou pomalostí na tom něco bude .. na 10/100Mbit LAN mám server s 666MHz Celeron CPU ... a přes WinSCP tam kopíruji tak 1MB/s ... FTP jede asi 8MB/s (nešifrované). Ale možná je to tím CPU..

[Jiří J.]

chroot by také mohl být řešením...

[Jiří J.]

Kousek vedle..

[Josef Kufner]

To co asi hledáš se jmenuje "scponly" a "chroot" (jakožto vlastnost scponly). Podrobnosti a návody už si zajisté zvládneš najít sám.

[Josef Kufner]

Teda nechápu, jak se mi to povedlo, ale přehlíd jsem úplně celou diskuzi