В дерево исходных текстов OpenSSH принят код (http://undeadly.org/cgi?action=article&sid=20080220110039) позволяющий помещать отдельных пользователей в изолированное окружение. В купе с появившимися недавно средствами по ограничению выполняемых команд, новая возможность позволяет достаточно гибко организовывать лимитирование пользователей.

Кроме того, принят патч с реализацией sftp-server (http://www.openbsd.org/cgi-bin/man.cgi?query=sftp-server&sek...) внутри sshd, не требующий запуска отдельного процесса.

Помещение в chroot управляется через директиву ChrootDirectory, задаваемую в  конфигурационном файле sshd_config. Так как  sftp-server теперь встроен в sshd, формирование chroot окружения не требуется, достаточно указать в кофнигурации:

   Match user djm
       ForceCommand internal-sftp
       ChrootDirectory /chroot
  ...
  #Subsystem      sftp    /usr/libexec/sftp-server
  Subsystem       sftp    internal-sftp

и пользователь djm сможет пользоваться только sftp в пределах директории /chroot.

В качестве недостатка, можно отметить отстутствие интегрированной в sshd поддержки scp, по прежнему требующей копирования библиотек в chroot окружение.

URL: http://undeadly.org/cgi?action=article&sid=20080220110039
Новость: http://www.opennet.me/opennews/art.shtml?num=14331

• В OpenSSH интегрирована поддержка 'chroot',Аноним, 17:55 , 20-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',Аноним, 18:01 , 20-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',zedis, 18:17 , 20-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',Dimez, 18:23 , 20-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',allexeym, 20:38 , 20-Фев-08
• формирование chroot,Michael Shigorin, 21:11 , 20-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',ymkin, 21:38 , 20-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',polkan, 04:10 , 21-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',Лимуриец, 09:10 , 21-Фев-08
  • В OpenSSH интегрирована поддержка 'chroot',хвост, 10:26 , 21-Фев-08
    • В OpenSSH интегрирована поддержка 'chroot',Лимуриец, 11:27 , 21-Фев-08
  • В OpenSSH интегрирована поддержка 'chroot',replicant, 11:24 , 21-Фев-08
  • В OpenSSH интегрирована поддержка 'chroot',_Nick_, 12:04 , 21-Фев-08
    • В OpenSSH интегрирована поддержка 'chroot',_Nick_, 12:06 , 21-Фев-08
• OpenNews: В OpenSSH интегрирована поддержка 'chroot',fa, 11:13 , 21-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',gara, 17:42 , 21-Фев-08
• В OpenSSH интегрирована поддержка 'chroot',Dyr, 17:35 , 22-Фев-08
• OpenNews: В OpenSSH интегрирована поддержка 'chroot',nuclight, 08:06 , 27-Фев-08

Ура господа.

Позитивная новость.

Давно пора

Отлично!!! Безумно рад, теперь ещё одну программу патчить не надо.

супер!

>В качестве недостатка, можно отметить отстутствие интегрированной в sshd поддержки scp,
>по-прежнему требующей копирования библиотек в chroot окружение.

Заинтересованные могут посмотреть пакет chrooted, штатно водящийся в ALT/Owl:
http://sisyphus.ru/srpm/chrooted

расскажите о применении

>The full commit message:
>
>    CVSROOT:        /cvs
>    Module name:    src
>    Changes by:     djm@     2008/02/08 16:24:08

дайте людям ВРЕМЯ ПРОВЕРИТЬ И ВКОМПИЛЯТЬ %)))
а то сразу им "версия какая?" :)

Ещё бы теперь как-то организовать, чтобы подсистема QoS промежуточных роутеров узнавала, что по встроенному SFTP файло начали качать. Этот поток тоже через 22 порт идёт и траффик шифрованый, т.е. как-то детектировать отличие работы в терминале от передачи файла. А если сделан высокий приоритет для SSH, то файлокачание забьёт весь канал и параллельные SSH сессии будут жутко тормозить :((

почитать побольше о qos
ssh если склероз не изменяет ставит разные биты приоритета для интерактивной сессии и file-transfer

Ну если так, то гуд.

Изврат на почве паранойи

>А если сделан высокий приоритет для SSH

а SSH не нужен высокий проиритет на всех скоростях.
Достаточно высокого приоритета на низких, а на высоких - приоритет и
понизить можно ;)

>ssh если склероз не изменяет ставит разные биты приоритета для интерактивной сессии и file-transfer

и тогда умник ставящий _нужный_ бит на file-transfer получит...
если не фигу, то прост онизкий проиритет ;)

Отличная новость!!!

УРА !!!

Отличная и давно ожидаемая новость!

Лучше б в SFTP кодировки починили. А то по стандарту там должен быть UTF-8 (либо индикация локали), а по факту там имена файлов передаются как есть, забивая на кодировку, в результате грабли с русским на разных операционках.