Cómo crear un usuario SSH enjaulado con Jailkit en Debian 9 (Stretch)

Este documento describe cómo instalar y configurar Jailkit en el servidor de Debian 9 (Stretch). Jailkit es un conjunto de utilidades para limitar las cuentas de usuario a archivos específicos utilizando chroot() y o comandos específicos. Configurar un shell chroot, un shell limitado a algún comando específico o un demonio dentro de una jaula chroot es mucho más fácil y puede automatizarse utilizando estas utilidades.

Se sabe que Jailkit se utiliza en los dispositivos de seguridad de red de varias empresas líderes en seguridad informática, en los servidores de Internet de varias grandes organizaciones empresariales, en los servidores de Internet de los proveedores de servicios de Internet, así como en muchas empresas más pequeñas y usuarios particulares que necesitan asegurar procesos cvs, sftp, shell o daemon.

1 Nota preliminar

Este tutorial se basa en un servidor Debian 9, por lo que debes configurar una instalación básica de servidor Debian antes de continuar con este tutorial. El sistema debe tener una dirección IP estática. Yo utilizo 192.168.0.100 como dirección IP en este tutorial y servidor1.ejemplo.com como nombre de host.

2 Instalar Jailkit

Primero descargaremos e instalaremos el Jailkit. En el momento de escribir esta guía, la última versión disponible de Jailkit es la 2.20. La descargaré y la instalaré de la siguiente manera:

cd /tmp    
wget http://olivier.sessink.nl/jailkit/jailkit-2.20.tar.gz
tar xvfz jailkit-2.20.tar.gz
cd jailkit-2.20

Jailkit requiere algunos paquetes antes de su instalación, los instalaremos como sigue:

apt-get install build-essential autoconf automake1.11 libtool flex bison debhelper binutils-gold python

Ahora nuestro sistema está listo para instalar el Jailkit, instálalo como sigue:

echo 5 > debian/compat
./debian/rules binary
cd ..
dpkg -i jailkit_2.20-1_amd64.deb

Se instalará el Jailkit en Debian Server, podemos eliminar los paquetes extra de /tmp:

rm -rf /tmp/jailkit*

3 Encarcelar un usuario

Ahora crearemos un usuario que será encarcelado con Jailkit como

adduser srijan

En mi caso estoy creando el usuario srijan, puedes utilizar cualquier nombre.

A continuación vamos a comprobar la información sobre el usuario srijan en /etc/passwd como:

egrep srijan /etc/passwd

A continuación, vamos a encarcelar al usuario creado. Crea un directorio /jail para el entorno Jail:

mkdir /jail

Ahora proporcionaremos a la Cárcel algunos de los entornos de los programas por defecto como:

jk_init -v /jail netutils basicshell jk_lsh openvpn ssh sftp

Podemos dar otros valores también, la lista completa del entorno de la Cárcel se puede comprobar en el archivo

nano /etc/jailkit/jk_init.ini

Ahora la Cárcel está lista, sólo tienes que añadir el usuario dentro del entorno:

jk_jailuser -m -j /jail/ srijan

De nuevo comprueba los valores en /etc/passwd para el usuario srijan:

egrep srijan /etc/passwd

Ahora nuestro usuario se ha añadido en el entorno Jailed. Conectaré el servidor Debian con el terminal bash con su IP 192.168.0.100:

ssh [email protected]

La conexión se está cerrando porque el usuario no tiene shell de registro, vamos a añadirlo en el archivo de configuración para Jail:

nano /jail/etc/passwd

root:x:0:0:root:/root:/bin/bash
nobody:x:65534:65534:nobody:/nonexistent:/bin/sh
#srijan:x:1001:1001:,,,:/home/srijan:/usr/sbin/jk_lsh
srijan:x:1001:1001:,,,:/home/srijan:/bin/bash

Se añadirá el prompt bash para el usuario encarcelado srijan. Ahora intenta de nuevo el login ssh con el usuario srijan y podrás entrar:

ssh [email protected]

Ahora comprueba el contenido del directorio raíz, te darás cuenta de que tiene un contenido como este

ls /

4 Ejecutar servicios y comandos en un entorno Jailed

Jail puede utilizarse para ejecutar servicios en un entorno Jailed. Supongamos que queremos ejecutar cualquier servicio en el entorno Jailed, entonces utilizaremos el comando jk_chrootlaunch para ello:

jk_chrootlaunch -j /jail -u srijan -x 'service apache2 start'

Aquí estoy iniciando el servicio de Apache. Del mismo modo, puedes ejecutar cualquier servicio o demonio en un entorno Jailed.

Supongamos que queremos ejecutar un determinado comando en el entorno Jailed, entonces utilizaremos jk_cp. Vamos a probarlo en el entorno Jailed cuando ejecutemos cal entonces se muestra de la siguiente manera:

cal

Significa que el entorno de Jail no conoce el comando cal, ahora lo añadiré en Debian Server de la siguiente manera:

jk_cp  -v -j /jail/ /usr/bin/cal

Vuelve a ejecutar el comando cal en el entorno Jailed:

cal

Así que hemos añadido el comando para el entorno Jailed. ¡Enhorabuena! Ahora hemos configurado con éxito el entorno Jailed en Debian 9 🙂

5 Enlaces

• Debian: https://www.debian.org/
• Jailkit: https://olivier.sessink.nl/jailkit/