SSHのrootユーザーログインに関するセキュリティについて

Question

SSH　PermitRootLoginについて

SSHを利用したログイン方法には以下の制限があるそうですが、サイバーセキュリティを考慮した場合の違いについて御教授ください。

＜PermitRootLogin＞

１．PermitRootLogin yes
rootユーザーのログインが許可されている

２．PermitRootLogin no
rootユーザーのログインが許可されていない

３．PermitRootLogin without-password
rootユーザーのみパスワード認証を拒否する

４．PermitRootLogin forced-commands-only
rootユーザーのログインは無効だが、suコマンドのみ受け付ける

質問

４．PermitRootLogin forced-commands-only　について疑問があります。
「rootログイン可能」と「rootログインできないがroot権限のコマンドは発行可能」の違いがわかりません。

以下御教授いただけないでしょうか？

*質問１．できることは同じですか？
違いは何になるのでしょうか？
どういった使い分けをするものなのでしょうか？

*質問２．サイバーセキュリティ的に問題はありますか？
IPAが提示する資料等目を通しましたが、特に記載はなく感じました。

補足情報

参考URL
＜sshd_config の PermintRootLogin の各種パラメータについて＞
https://qiita.com/ine1127/items/b50b9a8f831736cf14ea

Answer 1

forced-commands-onlyだと、サーバー側であらかじめ許可しておいたコマンドの実行だけはroot権限で出来るようです(キーによる認証は必須)。
noだとそう言うことは出来ません。

参考URLで書かれているように、scpやrsyncを許可してしまうと何でも出来るので、生のscp等を許可するのは良くないかと。

Comments

[ma-yu]

ご回答ありがとうございます。

コマンドに制限をかけられるということですね。
見落としていました。

気になったのですが、「生のscp」とはどういった意味になりますか？
よりセキュアな環境でscpを実行する手段があるのでしょうか？

[otn]

> 「生のscp」とはどういった意味になりますか？

/usr/bin/scp のことです。
特定ファイルの更新のみ許したいのであれば、例えば、"/usr/bin/scp user@host:/home/user/foo /root/foo"を実行するプログラムを作ってそのプログラムを許可すれば/root/fooだけ更新できます。

[ma-yu]

ありがとうございます。
許可したプログラムがroot権限で実行されるため可能なのですね。

その理論で行くと、"scp /home/user/foo /home/root/foo"と記述したシェルスクリプトの実行を許可すれば同じことが可能かと思ったのですが、違いはありますでしょうか？

[otn]

この場合はシェルスクリプトでも大丈夫だと思います。

[ma-yu]

ご回答ありがとうございます。
主な使い道について理解することができました。

特定のシェルスクリプトの実行のみ許可すれば、大きなセキュリティホールにはならないかと思います。
安全と言い切れるかは分かりませんが...

いろいろ試してみようかと思います。ありがとうございます。