[devel] Restricted shell for cvs over ssh

[devel] Restricted shell for cvs over ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 276 bytes --]

Hello, All!

Если не секрет, что такое хитрое запущено на хосте devel, что не
даёт нормального shell'а, но даёт возможность использовать cvs
over ssh ?

Собрался cvs у себя завести, хочется по уму :)

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Restricted shell for cvs over ssh

[Nazar Yurpeak]

[-- Attachment #1: Type: text/plain, Size: 400 bytes --]

On Tue, 29 Oct 2002 16:16:58 +0300
Vitaly Ostanin <vyt@vzljot.ru> wrote:

> Hello, All!
> 
> Если не секрет, что такое хитрое запущено на хосте devel, что не
> даёт нормального shell'а, но даёт возможность использовать cvs
> over ssh ?
хм может /bin/false ?
> 
> Собрался cvs у себя завести, хочется по уму :)
> 
> -- 
> Regards, Vyt
> mailto:  vyt@vzljot.ru
> JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: Restricted shell for cvs over ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 564 bytes --]

On Tue, 29 Oct 2002 16:27:08 +0300
Nazar Yurpeak <phoenix@altlinux.ru> wrote:

> On Tue, 29 Oct 2002 16:16:58 +0300
> Vitaly Ostanin <vyt@vzljot.ru> wrote:
> 
> > Hello, All!
> > 
> > Если не секрет, что такое хитрое запущено на хосте devel, что
> > не даёт нормального shell'а, но даёт возможность использовать
> > cvs over ssh ?
> хм может /bin/false ?

Не похоже - выводы обломов подключения разные.
Да и упоминался как-то restricted shell, если ничего не путаю.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Restricted shell for cvs over ssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 407 bytes --]

On Tue, Oct 29, 2002 at 04:16:58PM +0300, Vitaly Ostanin wrote:
> Если не секрет, что такое хитрое запущено на хосте devel, что не
> даёт нормального shell'а, но даёт возможность использовать cvs
> over ssh ?

Специальный wrapper:
$ wc master/alt_sh.c
    101     288    2112 master/alt_sh.c

> Собрался cvs у себя завести, хочется по уму :)

Только для cvs?
На devel.altlinux.ru есть ещё и rsync.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: Restricted shell for cvs over ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 678 bytes --]

On Tue, 29 Oct 2002 17:03:42 +0300
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

> On Tue, Oct 29, 2002 at 04:16:58PM +0300, Vitaly Ostanin wrote:
> > Если не секрет, что такое хитрое запущено на хосте devel, что
> > не даёт нормального shell'а, но даёт возможность использовать
> > cvs over ssh ?
> 
> Специальный wrapper:
> $ wc master/alt_sh.c
>     101     288    2112 master/alt_sh.c

А он как бы... ну... попробовать дают? :))

> > Собрался cvs у себя завести, хочется по уму :)
> 
> Только для cvs?
> На devel.altlinux.ru есть ещё и rsync.

Да, это мне только для cvs.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Restricted shell for cvs over ssh

[Dmitry V. Levin]

[-- Attachment #1.1: Type: text/plain, Size: 736 bytes --]

On Tue, Oct 29, 2002 at 05:32:36PM +0300, Vitaly Ostanin wrote:
> > > Если не секрет, что такое хитрое запущено на хосте devel, что
> > > не даёт нормального shell'а, но даёт возможность использовать
> > > cvs over ssh ?
> > 
> > Специальный wrapper:
> > $ wc master/alt_sh.c
> >     101     288    2112 master/alt_sh.c
> 
> А он как бы... ну... попробовать дают? :))
> 
> > > Собрался cvs у себя завести, хочется по уму :)
> > 
> > Только для cvs?
> > На devel.altlinux.ru есть ещё и rsync.
> 
> Да, это мне только для cvs.

Вот пример такого shell'а.
Естественно, что приведённый в нем путь к chroot'у надо заменить на
реальный.

Помещают такие программы обычно в /usr/local/sbin/,
с правами %attr(4710,root,группа_доступа).


--
ldv

[-- Attachment #1.2: cvs_sh.c --]
[-- Type: text/plain, Size: 1491 bytes --]

#define _GNU_SOURCE

#include <stdio.h>
#include <errno.h>
#include <error.h>
#include <string.h>
#include <stdlib.h>
#include <unistd.h>
#include <ctype.h>
#include <sys/types.h>
#include <pwd.h>

int
main (int ac, char *av[])
{
	const char *dir = "/path/to/chroot";
	const char *file = 0;
	struct passwd *pw;
	uid_t   uid = getuid ();

	if (!uid)
		error (EXIT_FAILURE, 0, "must be non-root");

	if (chdir (dir) < 0)
		error (EXIT_FAILURE, errno, "chdir");

	if (chroot (".") < 0)
		error (EXIT_FAILURE, errno, "chroot");

	if (setuid (uid) < 0)
		error (EXIT_FAILURE, errno, "setuid");

	pw = getpwuid (uid);
	if (!pw)
		error (EXIT_FAILURE, errno, "getpwuid");

	if (!pw->pw_dir)
		error (EXIT_FAILURE, 0, "invalid home directory");

	if (chdir (pw->pw_dir) < 0)
		error (EXIT_FAILURE, errno, "chdir");

	if (setenv ("HOME", pw->pw_dir, 1) < 0)
		error (EXIT_FAILURE, errno, "setenv: HOME");

	if (setenv ("USER", pw->pw_name, 1) < 0)
		error (EXIT_FAILURE, errno, "setenv: USER");

	if (setenv ("PATH", "/bin", 1) < 0)
		error (EXIT_FAILURE, errno, "setenv: PATH");

	if (3 == ac)
	{
		if (strcmp ("-c", av[1]))
			error (EXIT_FAILURE, EINVAL, "%s", av[1]);

		if (!strcmp ("cvs server", av[2]))
		{
			const char *args[] = { "cvs", "server", 0 };

			file = "/bin/cvs";
			execv (file, (char *const *) args);
			error (EXIT_FAILURE, errno, "execv: %s", file);
		}

		error (EXIT_FAILURE, EINVAL, "%s", av[2]);
	}

	error (EXIT_FAILURE, 0, "invalid arguments");
	return EXIT_FAILURE;
}

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Restricted shell for cvs over ssh

[Sergey Bolshakov]

>>>>> "Vitaly" == Vitaly Ostanin <vyt@vzljot.ru> writes:

 > On Tue, 29 Oct 2002 17:03:42 +0300
 > "Dmitry V. Levin" <ldv@altlinux.org> wrote:

 >> On Tue, Oct 29, 2002 at 04:16:58PM +0300, Vitaly Ostanin wrote:
 >> > Если не секрет, что такое хитрое запущено на хосте devel, что не даёт
 >> > нормального shell'а, но даёт возможность использовать cvs over ssh ?
 >>
 >> Специальный wrapper: $ wc master/alt_sh.c 101 288 2112 master/alt_sh.c

 > А он как бы... ну... попробовать дают? :))

 >> > Собрался cvs у себя завести, хочется по уму :)
 >>
 >> Только для cvs?  На devel.altlinux.ru есть ещё и rsync.

 > Да, это мне только для cvs.
Параметр command в ssh-ключе + невозможность его поменять не оно ?

-- 
	Трули ерз, Сергей.

"[Open Source] programming is like sex, one mistake and you have to support it
for the rest of your life."  ---  M. Sinz, CBM Inc.

[devel] Re: Restricted shell for cvs over ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 593 bytes --]

On Tue, 29 Oct 2002 17:50:12 +0300
"Dmitry V. Levin" <ldv@altlinux.org> wrote:

<skipped/>

> > > Специальный wrapper:
> > > $ wc master/alt_sh.c
> > >     101     288    2112 master/alt_sh.c
> > 
> > А он как бы... ну... попробовать дают? :))

<skipped/>

> Вот пример такого shell'а.
> Естественно, что приведённый в нем путь к chroot'у надо
> заменить на реальный.
> 
> Помещают такие программы обычно в /usr/local/sbin/,
> с правами %attr(4710,root,группа_доступа).

Спасибо огромное!

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

[devel] Re: Restricted shell for cvs over ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 1060 bytes --]

On 29 Oct 2002 17:00:30 +0200
Sergey Bolshakov <s.bolshakov@belcaf.com> wrote:

> >>>>> "Vitaly" == Vitaly Ostanin <vyt@vzljot.ru> writes:
> 
>  > On Tue, 29 Oct 2002 17:03:42 +0300
>  > "Dmitry V. Levin" <ldv@altlinux.org> wrote:
> 
>  >> On Tue, Oct 29, 2002 at 04:16:58PM +0300, Vitaly Ostanin
>  >wrote:> > Если не секрет, что такое хитрое запущено на хосте
>  >devel, что не даёт> > нормального shell'а, но даёт
>  >возможность использовать cvs over ssh ?>
>  >> Специальный wrapper: $ wc master/alt_sh.c 101 288 2112
>  >master/alt_sh.c
> 
>  > А он как бы... ну... попробовать дают? :))
> 
>  >> > Собрался cvs у себя завести, хочется по уму :)
>  >>
>  >> Только для cvs?  На devel.altlinux.ru есть ещё и rsync.
> 
>  > Да, это мне только для cvs.
> Параметр command в ssh-ключе + невозможность его поменять не
> оно ?

Не нашёл такого в man и info по ssh и ssh-keygen.
В общем, пока остановился на бесправном пользователе с обычным
шеллом.

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Restricted shell for cvs over ssh

[Sergey Bolshakov]

>>>>> "Vitaly" == Vitaly Ostanin <vyt@vzljot.ru> writes:
[skipped]
 > On 29 Oct 2002 17:00:30 +0200
 > Sergey Bolshakov <s.bolshakov@belcaf.com> wrote:
 >> Параметр command в ssh-ключе + невозможность его поменять не оно ?

 > Не нашёл такого в man и info по ssh и ssh-keygen.  В общем, пока
 > остановился на бесправном пользователе с обычным шеллом.
Вписать command="cvs server" в начало ключа, сам ключ унести в, скажем,
/etc/openssh/authorized_keys, сказать в конфиге sshd:
AuthorizedKeysFile /etc/openssh/authorized_keys/%u.
Речь о публичном ключе естественно.

-- 
	Трули ерз, Сергей.

"[Open Source] programming is like sex, one mistake and you have to support it
for the rest of your life."  ---  M. Sinz, CBM Inc.

Re: [devel] Re: Restricted shell for cvs over ssh

[Alexander Bokovoy]

On Fri, Nov 01, 2002 at 01:31:38PM +0300, Vitaly Ostanin wrote:
> >  > Да, это мне только для cvs.
> > Параметр command в ssh-ключе + невозможность его поменять не
> > оно ?
> 
> Не нашёл такого в man и info по ssh и ssh-keygen.
> В общем, пока остановился на бесправном пользователе с обычным
> шеллом.
sshd(8), секция AUTHORIZED_KEYS FILE FORMAT


-- 
/ Alexander Bokovoy
---
idleness, n.:
	Leisure gone to seed.

[devel] Re: Restricted shell for cvs over ssh

[Vitaly Ostanin]

[-- Attachment #1: Type: text/plain, Size: 967 bytes --]

On 01 Nov 2002 12:44:26 +0200
Sergey Bolshakov <s.bolshakov@belcaf.com> wrote:

> >>>>> "Vitaly" == Vitaly Ostanin <vyt@vzljot.ru> writes:
> [skipped]
>  > On 29 Oct 2002 17:00:30 +0200
>  > Sergey Bolshakov <s.bolshakov@belcaf.com> wrote:
>  >> Параметр command в ssh-ключе + невозможность его поменять
>  >не оно ?
> 
>  > Не нашёл такого в man и info по ssh и ssh-keygen.  В общем,
>  > пока остановился на бесправном пользователе с обычным
>  > шеллом.
> Вписать command="cvs server" в начало ключа, сам ключ унести в,
> скажем,/etc/openssh/authorized_keys, сказать в конфиге sshd:
> AuthorizedKeysFile /etc/openssh/authorized_keys/%u.
> Речь о публичном ключе естественно.

А зачем уносить? Чтобы пользователь поменять не смог? Так при
ограничении команд и не сможет, вроде бы.

Ну и интересно, зачем тогда wrapper нужен.

В любом случае, всем спасибо :)

<skipped/>

-- 
Regards, Vyt
mailto:  vyt@vzljot.ru
JID:     vyt@vzljot.ru

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Restricted shell for cvs over ssh

[Alexey Morozov]

On Fri, Nov 01, 2002 at 01:31:38PM +0300, Vitaly Ostanin wrote:
> Не нашёл такого в man и info по ssh и ssh-keygen.
> В общем, пока остановился на бесправном пользователе с обычным
> шеллом.
<self-advertizing mode>
Тогда, может, нормальное решение? В смысле, виртуальные пользователи
и все такое? :-)
</self-advertizing mode>
А вообще, можно либо написать соответствующий sshrc (man sshd), либо
подложить какой-либо специализированный shell.

Re: [devel] Re: Restricted shell for cvs over ssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 666 bytes --]

On Sat, Nov 02, 2002 at 04:27:31PM +0600, Alexey Morozov wrote:
> On Fri, Nov 01, 2002 at 01:31:38PM +0300, Vitaly Ostanin wrote:
> > Не нашёл такого в man и info по ssh и ssh-keygen.
> > В общем, пока остановился на бесправном пользователе с обычным
> > шеллом.
> <self-advertizing mode>
> Тогда, может, нормальное решение? В смысле, виртуальные пользователи
> и все такое? :-)
> </self-advertizing mode>
> А вообще, можно либо написать соответствующий sshrc (man sshd), либо
> подложить какой-либо специализированный shell.

В реальной жизни я предпочитаю сочетать использование специализированного
shell'а и не менее специализированного authorized_keys.


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Restricted shell for cvs over ssh

[Dmitry V. Levin]

[-- Attachment #1: Type: text/plain, Size: 632 bytes --]

On Sun, Nov 03, 2002 at 07:11:13PM +0600, Alexey Morozov wrote:
> > > А вообще, можно либо написать соответствующий sshrc (man sshd), либо
> > > подложить какой-либо специализированный shell.
> > В реальной жизни я предпочитаю сочетать использование специализированного
> > shell'а и не менее специализированного authorized_keys.
> Мне кажется, это вопрос личных предпочтений. Сдается мне, что задачу можно
> решить более чем одним способом. Впрочем, я уже говорил, что по-моему,
> чисто виртуальные пользователи все равно предпочтительнее...

А что такое "виртуальные пользователи" применительно к "cvs over ssh"?
n-to-1?


--
ldv

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: Restricted shell for cvs over ssh

[Alexey Morozov]

On Sat, Nov 02, 2002 at 10:18:09PM +0300, Dmitry V. Levin wrote:
> > А вообще, можно либо написать соответствующий sshrc (man sshd), либо
> > подложить какой-либо специализированный shell.
> В реальной жизни я предпочитаю сочетать использование специализированного
> shell'а и не менее специализированного authorized_keys.
Мне кажется, это вопрос личных предпочтений. Сдается мне, что задачу можно
решить более чем одним способом. Впрочем, я уже говорил, что по-моему,
чисто виртуальные пользователи все равно предпочтительнее...

Re: [devel] Re: Restricted shell for cvs over ssh

[Alexey Morozov]

On Sun, Nov 03, 2002 at 02:42:50PM +0300, Dmitry V. Levin wrote:
> On Sun, Nov 03, 2002 at 07:11:13PM +0600, Alexey Morozov wrote:
> > Мне кажется, это вопрос личных предпочтений. Сдается мне, что задачу можно
> > решить более чем одним способом. Впрочем, я уже говорил, что по-моему,
> > чисто виртуальные пользователи все равно предпочтительнее...
> А что такое "виртуальные пользователи" применительно к "cvs over ssh"?
> n-to-1?
Применительно к cvs over ssh - ничего. Но мне до сих пор кажется способ
c доступом через :ext: не слишком удачным решением. При числе пользователей
> N, и отсутствием доверительных отношений внутри всей группы, приходится
наворачивать доп. подчас очень нетривиальные способы разграничения
пользователей (я про SF с его виртуальными серверами).
Впрочем, это так, лирика, не имеющая к исходному вопросу никакого отношения.