Enjaular usuarios en Linux
Particularmente, lo que necesitaba era Enjaular usuarios para que pudieran hacer lo que quieran a partir de un lugar determinado del árbol de directorio para abajo.
El problema que plantea linux es que si bien, uno no otorga permisos estos usuarios pueden subir en el árbol del servidor y navegar por él con restricciones.
Enjaular un usuario es mucho mejor, más seguro y evitamos que el mismo pueda subir por arriba del árbol de directorios configurado.
Una forma de Enjaular usuarios CHROOT y permitirle usar SSH, SFTP y SCP en forma efectiva es usar JAULKIT.
Con JAULKIT podemos es construirle al usuario enjaulado un entorno de comandos básicos (ls, cp, find, etc.).
Primero descargamos de la web el script desde:
- wget http://packages.sw.be/rpmforge-release/rpmforge-release-0.5.1-1.el5.rf.x86_64.rpm
- rpm -Uhv rpmforge-release-0.5.1-1.el5.rf.x86_64.rpm
- yum install jailkit
Ahora definiremos la JAULA que en mi ejemplo será /var/www/jaula y luego copiaremos el Shell básico.
Atención: Si la carpeta existe, mejor renombrarla y dejar que JAULKIT cree para otorgarle permisos y grupos adecuados podemos agregarle otros servicios atras de jk_lsh como ssh sftp scp, nosotros agregamos solo sftp.
- jk_init -v -j /var/www/jaula jk_lsh sftp
- jk_cp -v -f /var/www/jaula /bin/bash
Listamos para ver como quedo organizado y nos da algo parecido a:
- ls -l /var/www/jaula/
devolverá:
- drwxr-xr-x 2 root root 4096 jul 5 16:52 bin
- drwxr-xr-x 2 root root 4096 jul 5 16:49 dev
- drwxr-xr-x 3 root root 4096 jul 5 16:52 etc
- drwxr-xr-x 2 root root 4096 jul 5 16:49 lib
- drwxr-xr-x 2 root root 4096 jul 5 16:52 lib64 (depende el Sistema Operativo a veces no existe esta carpeta)
- drwxr-xr-x 6 root root 4096 jul 5 16:49 usr
Añadimos el usuario usdjaula y le damos una clave:
useradd usdjaula
passwd usdjaula (nos pide clave y confirmación)
Ahora vemos si existe una línea similar a esta
- cat /etc/passwd ; grep usdjaula
- usdjaula: x:501:501::/home/usdjaula:/bin/bash
- cat /etc/passwd ; grep usdjaula >> /var/www/jaula/etc/passwd
Ahora enjaulamos el usuario.
- jk_jailuser -m -j /var/www/jaula usdjaula
- cat /etc/passwd ; grep usdjaula
- usdjaula: x:500:500::/var/www/jaula/./home/usdjaula:/usr/sbin/jk_chrootsh
Editamos el archivo jk_lsh.ini y le agregamos las líneas de abajo luego grabamos con [ ESC]:wq!
- vi /var/www/jaula/etc/jailkit/jk_lsh.ini
- [ usdjaula]
- paths= /usr/bin, /usr/lib/
- executables= /usr/bin/scp, /usr/libexec/openssh/sftp-server
Copiamos los archivos que faltan.
- jk_cp -v -f /var/www/jaula /bin/ls /usr/bin/groups /bin/sh /usr/bin/id
Solo resta crear la conexión FTP desde el cliente que prefieras y listo. El usuario ha quedado enjaulado.
