Configuração de OpenWrt / LEDE para SFTP

Question

Eu quero usar meu roteador (A TP-Link WDR3600) executando o LEDE 17.01.4 como um servidor SFTP para armazenar meus backups criados com borg . Eu já sei como executar backups e configurar uma unidade USB, o que eu não sei é como configurar corretamente a parte do servidor SFTP para segurança e facilidade de manutenção, como:

• Preciso criar um usuário dedicado?
• Em caso afirmativo, como restringir as permissões para esse usuário de backup, para que ele não possa espiar arquivos confidenciais no sistema de arquivos?

Estou basicamente procurando as melhores práticas para executar um servidor SFTP sã, mas usando o ambiente limitado de um sistema embarcado. Se possível, prefiro não usar openssh , pois não está integrado ao sistema UCI.

Minha pergunta pode ser muito ampla, por favor, deixe-me saber se esse é o caso.

    

Answer 1

Do I have to create a dedicated user?

Sim. Crie um usuário não privilegiado denominado borg . Abaixo está uma exceção da documentação do OpenWrt:

Emseguida,façaissodesdequevocêqueirausarodropbearincluídoenãoopenssh-server:

A maneira como funciona: qualquer conta que possa usar o SSH pode usar o SFTP e, depois de criar a conta no sistema local e, opcionalmente, configurar chaves, você pode fazer SFTP imediatamente.

If so, how to restrict permissions to that backup user, so that it can't peek into sensitive files in the filesystem?

Usuários não-root não poderão fazer muito fora de seus diretórios de usuário, o que não é definido com permissões abertas.

Para evitar que outros usuários não-root modifiquem arquivos borg -owned, use a opção borg umask com um valor de 027 - isso tornará todos os novos arquivos inacessíveis para qualquer pessoa, exceto root ou borg .