sshのauthorized_keysで仮想端末を取得させない設定 no-pty

no-pty ssh-dss AAAAB9Nza....省略

これを設定すると、どこのホストから秘密鍵を使ってログインしようとしても、仮想端末が取得できなくなるので、注意してください。

上記の設定がされているホストにsshすると端末にアクセスできないとエラーが表示されます。

no-ptyの設定がされたホストにログインした例

% ssh noptyhost
Warning: no access to tty (Bad file descriptor).
						Thus no job control in this shell.

% ps auxww|fgrep notty
kaworu  9472  0.0  0.5  6296  2624  ??  S     3:15AM   0:00.01 sshd: kaworu@notty (sshd)

ssh noptyhost /bin/sh < evilscript

仮想端末が使えないので、vi(vim)などがちゃんと使えなかったりして、非常に不便だとは、思いますが、基本的になんでもできてしまうので、no-ptyにして、セキュリティ的に安全というわけではありません。

コマンドの制限があるわけでもないので、authorized_keysのパーミッション次第では、authorized_keysを書き換えられてしまうケースもあります。仮想端末を取得させたくない積極的な理由があるなら、authorized_keysのパーミッションを適切に設定すべきです。

何を制限したいのか、何を守りたいのか、誰から守りたいのか、何故、守るのか、よく考えましょう。


auth-options.c

authorized_keysの設定のチェックは、/usr/src/crypto/openssh/auth-options.cで行っています。
ソースを確認したところ、オプションの文字列は、strcasecmpで大文字小文字の区別なくチェックをしています。
no-ptyをNO-ptyとしようと、No-PTYとしようと、どれでも動きます。

ソースの一部

int
auth_parse_options(struct passwd *pw, char *opts, char *file, u_long
linenum)
{
	...省略...
	cp = "no-pty";
	if (strncasecmp(opts, cp, strlen(cp)) == 0) {
		auth_debug_add("Pty allocation disabled.");
		no_pty_flag = 1;
		opts += strlen(cp);
		goto next_option;
	}
	...省略...
}