Como criar um usuário ssh preso com Jailkit no Debian!

Este documento descreve como instalar e configurar no Debian Jessie e Jailkit Server. Jailkit é um conjunto de utilitários para limitar as contas de usuário para arquivos específicos usando chroot () e ou comandos específicos. Configurando um shell chroot, um shell limitado a algum comando específico, ou um daemon dentro de uma jaula é muito mais fácil e pode ser automatizado usando esses utilitários.

Jailkit é conhecido por ser usado em dispositivos de segurança de rede a partir de várias empresas líderes de TI de segurança, servidores de internet de várias grandes organizações empresariais, servidores de internet de provedores de serviços de internet, assim como muitas pequenas empresas e usuários domésticos que precisam garantir cvs, sftp, shell ou processos daemon.

Este tutorial é baseado no Debian como servidor, portanto, você deve configurar uma instalação básica do servidor Debian 8 ou 9 antes de continuar com este tutorial. O sistema deve ter um endereço IP estático. Eu uso 192.168.0.100 ao meu endereço IP, neste tutorial e server1.example.com como o nome da máquina.

1º instalar Jailkit

Vamos primeiro fazer o download e instalar o Jailkit. No tempo presente da escrita deste guia a última versão disponível do Jailkit é 2.19. Vou baixá-lo e instalá-lo da seguinte forma: hostname.

cd /tmp

wget https://olivier.sessink.nl/jailkit/jailkit-2.19.tar.gz

tar xvfz jailkit-2.19.tar.gz

cd jailkit-2.19

apt-get install build-essential autoconf automake1.9 libtool flex bison debhelper binutils-gold python

Agora o nosso sistema está pronto para instalar o Jailkit, instale-o da seguinte forma:

./debian/rules binary

cd ..

dpkg -i jailkit_2.19-1_amd64.deb

Ele irá instalar o Jailkit no Debian Server, podemos remover os pacotes extras de /tmp:

rm -rf /tmp/jailkit*

3º Prender um usuário

Agora vamos criar um usuário que irá ser preso usando Jailkit como:

adduser srijan

[email protected]:~#adduser srijan
Adding user `srijan' ...
Adding new group `srijan' (1001) ...
Adding new user `srijan' (1001) with group `srijan' ...
Creating home directory `/home/srijan' ...
Copying files from `/etc/skel' ...
Enter new UNIX password: <--password
Retype new UNIX password:<--password
passwd: password updated successfully
Changing the user information for srijan
Enter the new value, or press ENTER for the default
Full Name []: <--ENTER
Room Number []:<--ENTER
Work Phone []:<--ENTER
Home Phone []:<--ENTER
Other []:<--ENTER
Is the information correct? [Y/n] <--Y
[email protected]:~#

No meu caso eu estou criando o Srijan usuário, você pode usar qualquer nome.

Em seguida, vamos verificar as informações sobre Srijan usuário em / etc / passwd como:

egrep srijan /etc/passwd

Em seguida, vamos prisão o usuário criado. Crie um diretório/cadeia por meio Jail:

mkdir /jail

Agora iremos fornecer o Jail environment com algunm programa padrão como:

jk_init -v /opt/jail netutils basicshell jk_lsh openvpn ssh sftp

Podemos dar outros valores também, a lista completa do ambiente Jail pode ser verificado no arquivo

nano /etc/jailkit/jk_init.ini

Agora Jail está pronto, basta adicionar o usuário dentro do ambiente:

jk_jailuser -m -j /jail/ srijan

Novamente verificar os valores em /etc/passwd para Srijan usuário:

egrep srijan /etc/passwd

Agora o nosso usuário foi adicionado no ambiente e já esta preso. Eu vou subir servidor Debian com o terminal de com o seu IP 192.168.0.100:

ssh [email protected]

Saídas do terminal:

[email protected]:~$ ssh [email protected]
The authenticity of host '192.168.0.100 (192.168.0.100)' can't be established.
ECDSA key fingerprint is 3d:ca:91:67:96:39:15:b4:0f:6e:c8:2c:92:ef:25:d7.
Are you sure you want to continue connecting (yes/no)? yes
[email protected]'s password: 
Linux server1 3.2.0-4-amd64 #1 SMP Debian 3.2.60-1+deb7u3 x86_64

Os programas incluídos com o sistema Debian GNU / Linux é um software livre; 
os termos de distribuição exatas para cada programa são descritos no 
arquivos individuais em /usr/share/doc/*/ copyright.

Debian GNU / Linux vem com ABSOLUTAMENTE NENHUMA GARANTIA, na medida 
permitido pela legislação aplicável. 
A conexão com 192.168.0.100 fechada.

Conexão está sendo fechada porque o usuário não tem shell login, vamos adicioná-lo no arquivo de configuração do Jail:

nano /jail/etc/passwd

Saídas:

root:x:0:0:root:/root:/bin/bash
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
#srijan:x:1001:1001:,,,:/home/srijan:/usr/sbin/jk_lsh
srijan:x:1001:1001:,,,:/home/srijan:/bin/bash

Ele irá adicionar o shell bash para o usuário Srijan preso. Agora tente novamente o acesso ssh com usuário Srijan e você será capaz de login:

ssh [email protected]

Agora, verifique o conteúdo do diretório raiz, você vai notar que ele tem conteúdo como este:

ls /

Saídas:

[email protected]:~$ ls / 
bin dev etc home lib lib64 usr
[email protected]:~$

4º Execução de serviços e comandos no ambiente preso

Jail pode ser usado para executar serviços em ambiente “preso”. Suponha que queremos executar qualquer serviço em ambiente “preso” em seguida, vamos usar o comando jk_chrootlaunch para isso:

jk_chrootlaunch -j /jail -u srijan -x 'service apache2 start'

Aqui eu estou começando o serviço do Apache, da mesma forma que você pode executar qualquer serviço ou daemon com ele no ambiente preso.

Suponha que queremos executar um comando especial no ambiente Jail então vamos usar jk_cp. Vamos testá-lo no ambiente preso quando vamos correr cal seguida, ele mostra como se segue:

cal

Saídas:

[email protected]:~$ cal
bash: cal: command not found
[email protected]:~$

Significa ambiente Jail não sabe o comando cal, agora eu vou adicioná-lo no Debian Server da seguinte maneira:

jk_cp -v -j /jail/ /usr/bin/cal

Saídas:
[email protected]:~# jk_cp -v -j /jail/ /usr/bin/cal 
Creating symlink /jail/usr/bin/cal to ncal
Copying /usr/bin/ncal to /jail/usr/bin/ncal
Creating symlink /jail/lib/x86_64-linux-gnu/libncurses.so.5 to libncurses.so.5.9
Copying /lib/x86_64-linux-gnu/libncurses.so.5.9 to /jail/lib/x86_64-linux-gnu/libncurses.so.5.9
/jail/lib/x86_64-linux-gnu/libtinfo.so.5 already exists, will not touch it
/jail/lib/x86_64-linux-gnu/libc.so.6 already exists, will not touch it
/jail/lib/x86_64-linux-gnu/libdl.so.2 already exists, will not touch it
/jail/lib64/ld-linux-x86-64.so.2 already exists, will not touch it
/jail/lib/x86_64-linux-gnu/libtinfo.so.5 already exists, will not touch it
/jail/lib/x86_64-linux-gnu/libc.so.6 already exists, will not touch it
/jail/lib/x86_64-linux-gnu/libdl.so.2 already exists, will not touch it
/jail/lib64/ld-linux-x86-64.so.2 already exists, will not touch it
[email protected]:~#

Novamente execute o comando cal no ambiente Preso:

cal

Saídas:

[email protected]:~$ cal
September 2014 
Su Mo Tu We Th Fr Sa 
1 2 3 4 5 6 
7 8 9 10 11 12 13 
14 15 16 17 18 19 20 
21 22 23 24 25 26 27 
28 29 30

[email protected]:~$

Então, nós adicionamos o comando para o ambiente “preso”. Parabéns! Agora nós temos configurado com sucesso Jail environment no Debian.