OpenSSH con chroot

Desde OpenSSH 4.9 se añadió soporte chroot mediante la opción ChrootDirectory. Vamos a ver como usarla para un conjunto de usuarios.

Primero de todo deberemos comentar la siguiente linea del fichero /etc/ssh/sshd_config:

#Subsystem      sftp    /usr/local/openssh/libexec/sftp-server

Añadimos a continuación la siguiente:

Subsystem sftp internal-sftp

A continuación deberemos definir que conjunto de usuarios queremos que estén enjaulados mediante chroot. Lo haremos añadiendo al grupo chroot todos ellos. Primero de todo creamos el grupo:

# groupadd chroot

A continuación definimos mediante Match el grupo de usuarios que queremos aplicar la jaula. Para definir la jaula usaremos la home de cada usuario. Mediante %h lo podemos indicar:

Match Group chroot
ChrootDirectory %h

Finalmente añadimos un usuario cualquiera al grupo chroot:

# usermod -a -G chroot jordi

A continuación podemos ver mediante sftp como se ha enjaulado la sesión:

# sftp jordi@petaq
jordi@petaq's password:
sftp> pwd
Remote working directory: /
sftp>