Dotaz: Jak omezit pristup vybranym uzivatelum do urcite slozky

[likeapear]

Ahoj, mam (dnes jiz legendarni) router ASUS WL-500g. V nem bezi BusyBox. Je tam pres USB pripojen a namountovan externi disk jehoz data chci zpristupnit uzivatelum z venku (napr. pres WinSCP). V roueru bezi dropbear (ssh server). Muzu pridavat uzivatele a skupiny (editaci /etc/passwd a /etc/groups), nastavit jim domovsky adreasar na namountovany disk, ale nevim jak docilit toho aby se prihlaseny klient nedostal mimo svouj domovsky adresar v namountovanym disku. Pokud se totiz prihasi napr. pres Putty tak se v pohode dostane kamkoliv (cd /). Poradi mi nekdo?

Zvlastni, ze jsem to nikdy doted nepotreboval...

Odpovědi

[Josef Kufner]

Koukni se na scponly.

[likeapear]

Dekuji, ale myslis, ze to rozbeham na tom routeru - MIPS, BusyBox?

[Josef Kufner]

Určitě

[Karel V]

No me by teda zajimalo jak to udelat bez toho scponly. Kdyz proste budu chtit a aby se vybrany uzivatel po prihlaseni lokalne nedostal nikam nez do sveho adresare. Zapne PC, zada "login karel", heslo a uz zustane v /home/karel ? Jde tohle jednoduse nakonfigurovat?

[jiri.b]

no... ma to podle me nekolik reseni...

chroot - ale pak bude $HOME pripojev na fs s volbou exec

MAC (mandatory access control) - podle me lepsi reseni... vygenerovat politiku pro typy uzivatelu nebo pro nejaky shell ktery je pouze pro tyto uzivatele... RSBAC, GRSECURITY, SELINUX...

existuje i nejaky patch do OpenSSH, ale MAC je systemovejsi reseni.

[zabza]

Chroot prostředí - I

Chroot prostředí - II

[jiri.b]

chroot je idiotske reseni... v pripade nejakeho ssh shellu nevidim duvod proc uzivatelum dovolovat pouzivani vlastnich binarek!!! - chroot je zaprve pracny na spravu a za druhe domovske adresare musi byt na filesystemu s exec! coz urcite neni dobry napad...

dalsi vyhodou MAC muze byt i omezni napr. vypis procesu jenz nejsou spusteny pro prihlasenym userem, sledovani, kdo je pripojen ci tabulku spojeni atd... tezke spravne poprve nastavit, ale jde to...

[zabza]

Naprosto souhlasim

[Michal Vyskočil]

To půjde jenom velice těžko, protože uživatel musí mít možnost číst soubory třeba v /usr, aby mohl spouštět aplikace (pro test stačí dát chmod go-x /usr a podívat se na výsledek).

Smím se zeptat, k čemu je to potřeba? Je potřeba jenom vizuální skrývání (to by mohl být krátký patch třeba do ls), nebo o něco onačejšího?

Možná by mohl být užitečný restricted shell.

[Karel V]

V podstate mi jde jen o to, aby ten uzivatel nemohl nic cist (ani seznam souboru) a menit krom souboru ve svem domovskem adresari.

[Josef Kufner]

Měnit nic jiného nemůže už od přírody (jen /tmp + $HOME) a s tím skrýváním si nejsem jist, jestli to za to stojí. Můžeš sebrat skoro všem adreářům práva ke čtení a ponechat jen ke vstupu (spuštění). Pak systém bude normálně fungovat, soubory uvnitř přečte, ale nebude vidět jejich seznam.

[likeapear]

No v tom mem WL-500g se prihlasim jako normalni uzivatel a muzu cist jakekoliv soubory a to me vadi uplne nejvic. Cim to muze byt?

[Hynek (Pichi) Vychodil]

Můžete nám sem poslat výpis mount?

[likeapear]

login as: sam
sam@192.168.0.1's password:
[sam@sam-router harddisk]$ mount
/dev/root on / type squashfs (ro)
none on /dev type devfs (rw)
proc on /proc type proc (rw)
ramfs on /tmp type ramfs (rw)
usbfs on /proc/bus/usb type usbfs (rw)
/dev/discs/disc0/part1 on /tmp/harddisk type vfat (rw,noatime)

[Ľubomír Host]

A nebude to nahodou sposobene tym, ze /tmp/harddisk pouziva windowsovy vfat (vo svete Windowsu FAT32) filesystem, ktory nepozna pristupove prava? Linux tie prava v podstate iba emuluje, ale realne to nefunguje.

Ak ten disk nepouzivas vo Windowse, tak ho preformatuj na nieco rozumnejsie. Napr. na ext3. Ext3 sa da za pouzitia isteho ovladaca pouzivat tiez.

[likeapear]

Ano je to vfat, ale ja se jako uzivatel "sam" klidne prectu vsechny soubory, napr:

login as: sam
sam@6X.24X.18X.3X's password:
[sam@sam-router harddisk]$ cd /etc
[sam@sam-router etc]$ ls
MACHINE.SID   group         ld.so.conf    protocols     smb.conf
TZ            hosts         passwd        resolv.conf
dnsmasq.conf  ipkg.conf     passwd-       rpc
ethers        ld.so.cache   profile       services
[sam@sam-router etc]$ cat group
root:x:0:admin
nobody:x:99:
users::1001:sam
[sam@sam-router etc]$

[Josef Kufner]

To je naprosto v pořádku. Kdyby jsi tenhle soubor nemohl přečíst, neviděl by jsi u souborů jména skupin místo jejich ID, nevěděl bys ve kterých skupinách jsi,...

Koukni se, jestli přečteš /etc/shadow. Pokud ne, tak je vše v pořádku.

[likeapear]

Aha díky. No "/etc/shadow" nepřečtu, protože tam není:

[sam@sam-router /]$ cat /etc/shadow
cat: /etc/shadow: No such file or directory

[likeapear]

No tak jsem se snazil nainstalovat scponly na muj router asus wl-500g: ipkg install scponly ... a zda se, ze scponly je odstranen ze seznamu ipkg balicku... Mozna za to muze tohle: http://slugbug.nslu2-linux.org/bug.php?op=show&bugid=48 Nema nekdo po ruce binarku?

[Grumpa]

No a co to řešit přes ftp? Třeba ProFTPd umožńuje zamknout uživatele v jeho domovském adresáři. Pokud nechcete, aby přihlášení uživatelé spouštěli programy, pak je ssh zbytečné. Na data stačí ftp. Uživatelé pak mohou používat libovolného ftp klienta, který umožňuje přihlašování jménem/heslem.

[likeapear]

Problem je, ze mam k dispozici jeden port presmerovany od providera aby bylo mozne dostat se na ten router z zvenku. Pres ssh tam pristupovat chci take. Navic neni to pocitac, ale router asus wl-500g (MIPS) a neni uplne jednoduche (netvrdim, ze to nejde) instalovat tam dalsi sw.