Rsync公钥认证安全性

我已经阅读了几篇如何使用Rsync和公钥认证自动备份文件的文章.所有这些都非常相似.我刚刚完成了所有设置并且一切正常但是……我刚发现一篇文章说它不安全.我做了以下事情：

>在备份服务器上,我生成了公钥和私钥.
>我将公钥复制到远程(原始)服务器目录：/var/sites/.ssh(文件authorized_keys).该目录由“user12”拥有
>我将以下内容添加到authorized_keys文件中：from =“BACKUP.SERVERS.IP.ADDRESS”,command =“/ root / validate_rsync”
>我使用以下内容创建了一个文件/ root / validate_rsync：

#!/bin/sh
echo $SSH_ORIGINAL_COMMAND >> /var/log/synchronize-log.log
case "$SSH_ORIGINAL_COMMAND" in
*\&*)
echo "Rejected"
;;
*\;*)
echo "Rejected"
;;
*\(*)
echo "Rejected"
;;
*\{*)
echo "Rejected"
;;
*\<*)
echo "Rejected"
;;
*\>*)
echo "Rejected"
;;
*\`*)
echo "Rejected"
;;
*\|*)
echo "Rejected"
;;
rsync\ --server*) 
$SSH_ORIGINAL_COMMAND
;;
*)
echo "Rejected"
;;
esac

我运行rsync命令：

rsync -avzp --del -e "ssh -p 2211" user12@ORIGINAL.SERVERS.IP:/var/sites/photos/ /var/sites/sync/photos

我收到错误消息：文件/ root / validate_rsync的权限问题.我将文件/ root / validate_rsync移动到/ var / sites / validate_rsync并将其置于user12：user12

现在同步工作.但我发现一篇文章说这是不安全的：

1- validate_rsync命令本身不应该被拥有或写入
执行rsync命令的用户标识.否则,可以使用rsync
用另一个没有的脚本覆盖验证脚本
验证,甚至执行任意命令.

同样地,授权密钥文件不应该被拥有或写入
rsync用户,否则rsync可用于覆盖该文件
一个删除运行validate-rsync的要求,或者删除一个
而是运行一些其他命令.

Source

我能做什么？如果validate_rsync由root拥有,则同步不会启动,因为user12无法访问root的文件.如果授权密钥文件将由另一个用户拥有,我将无法使用用户名user12登录.

我的问题：

>我应该在哪个目录中放置validate_rsync和authorized-keys文件？他们应该拥有哪些权限和所有权？
>有没有办法告诉validate_rsync文件只允许同步2个文件夹：/ var / sites / photos /,/ var / sites / photos2 /

解决方法

这些安全问题是正确的.所以,回答你的第一个问题：为了让它按你喜欢的方式工作,你应该将validate_rsync放在user12具有执行权限但不写入的目录中.同一个validate_rsync文件应具有用户的读取和执行权限,但当然不能写入.这里的问题是/ root默认只能由root用户访问,你需要一个路径,其中每个目录都有user12的执行权限.例如,您可以将validate_rsync复制到/usr/local / bin并使其归root所有.只要user12可以执行和读取,就可以了.

您无需保护authorized_keys文件.最好强制user12通过配置运行命令,将sshd_config放入以下内容：

Match user user12
  ForceCommand /usr/local/bin/validate_rsync

我认为这个解决方案比修改authorized_keys更好.

此外,在您的validate_rsync中,我会引用$SSH_ORIGINAL_COMMAND(更安全),我会更改您的案例句子,以使用grep检查命令的有效性以获得正则表达式;更简单,更紧凑,更强大：

echo "$SSH_ORIGINAL_COMMAND" >> /var/log/synchronize-log.log
if echo "$SSH_ORIGINAL_COMMAND" | grep -qE '[&;<>`|]'; then
  echo Rejected
elif [[ "${SSH_ORIGINAL_COMMAND:0:14}" == "rsync --server" ]]; then
  $SSH_ORIGINAL_COMMAND
else
  echo Rejected
fi

要回答第二个问题,在记录SSH_ORIGINAL_COMMAND时,可以使用要考虑的目录运行测试,然后检查您正在获取的SSH_ORIGINAL_COMMAND.然后你可以使validate_rsync只验证该命令.

Rsync公钥认证安全性

解决方法

相关文章