Dotaz: openssh pod "nobody"

[uniDy]

Dobrý den, používám už nějakou dobu ssh a chtěl bych změnit uživatele pod kterým je spuštěn a ani za nic nemůžu přijít na to jak... nemůžu najít direktivu, která to určuje... Mohl by někdo z vás poradit ? Předem díky

---

---

Odpovědi

[Michal Kubeček]

Bohužel vůbec nerozumím, na co se ptáte. Jaký smysl by mělo spouštět SSH klienta pod jiným uživatelem, než který ho spustil? Pokud vám jde o uživatele, pod kterým se přihlašujete na straně serveru, pak je řešením přepínač "-l".

[d.c.]

Myslis uzivatele, pod kterym se sshd eventuelne "vzdava prav"?

--with-privsep-user=user pri kompilaci. Nemyslim, ze by to bylo kdovijak uzitecne menit, nebo se mylim?

[uniDy]

No... on openssh nějak pro svůj běh potřebuje usera "nobody" což chci změnit... jakmile nobody neexistuje, dožaduje se jej a nespustí se. Pokud to dobře chápu je to takový univerzální user v distribuci...

[d.c.]

Spis universalni "loser"

Takze plati to, co jsem psal vyse. Leda bys nechtel zadneho uzivatele s omezenymi pravy, coz by opravdu nebyl dobry napad.

[Michal Kubeček]

V tom případě bude správné řešení vytvořit ho.

[uniDy]

No chci použít jiného než "nobody" např "ssh" atd. něco v tom stylu... Ale jaksi vidím jen tak to nejde...

[Jakub Lucký]

nobody je specifický uživatel... Není to "jen tak někdo"

[uniDy]

No já neříkám, že je

[d.c.]

Z hlediska systemu je to jen normalni uzivatel, ktery nema home ani heslo a shell ma /bin/false. Od ostatnich uzivatelu pro zbaveni se prav se nicim nelisi. Casy nousera nobodyho s uid vzdy 65535 jsou (alespon v rozumnych distribucich Linuxu) jiz nastesti davno pryc.

Budu rad pokud me opravite, paklize se mylim. :)

[Jakub Lucký]

jakub@gondolin:~$ grep nobody /etc/passwd
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh

Nevím jestli vždy,ale v defaultu... Debian Sid

[Michal Kubeček]

Problém s UID 65535 byl IIRC v tom, že to za určitých okolností bylo interpretováno jako -1, což u některých funkcí znamenalo "kdokoli".

[Jakub Lucký]

Aha... Vida... To jsem se zase něčemu přiučil

[uniDy]

k čemu je teda vlastně dobrý ?

[uniDy]

Pokud jsem to pochopil správně, přidělují se mu soubory, které mají UID, které nikomu nepatří... A jinak je to uživatel upravený pouze pro běh démonů

[uniDy]

Pokud jsem to pochopil správně, přidělují se mu soubory, které mají UID, které nikomu nepatří...

To, těžko, to by jádro muselo pracovat s tabulkou uživatelů, aby vědělo, která UID to jsou. Je to prostě uživatelský účet, kterému by se neměla přidělovat žádná specifická oprávnění (kromě těch, která mají všichni) a pod kterým se spouštějí procesy, které nemají mít "žádná práva".

[uniDy]

ok... rozumím díky

[Jakub Lucký]

Jo, pravda... Jsem teď googlil, proč si to myslím a on za to může parametr -nouser u find

[d.c.]

Ale jo, jde to. Psal jsem vyse jak. Pri kompilaci se proste zada jiny.

[uniDy]

jj mno šak byl to hlavně jen dotaz kvůli pochopení, proč tam zrovna tento je a proč to nejde lehce změnit no a už to tak letmo chápu