ssh взаперти

Пилить chroot. Он нормально работает, проверено не на одной установке. Если вы используете pam chroot, не забывайте включать в sshd.conf 'UsePAM'.

rbash реально помогает только в том случае, когда выбор команд существенно ограничен.

ls /rbin
awk bzip2 clamscan dd find htdigest ln mv quotashow rsync sftp tar wc zip
bash cat clear diff grep htpasswd ls mysql restore rvi sftp-server tee wget
bunzip2 chmod cp du gzip id mkdir mysqldump restoredb scp sh unrar wget-unlim
bzcat chx date expr head less more patch rm sed tail unzip zcat

При этом шелл в mysql вырублен на уровне исходников (тот, что доступен через !...)
sftp работает только в качестве сервера, find - скрипт-враппер, запрещающий exec+, vi - линк к rvi и переменные типа LDxxxx и некоторые другие зарублены в баш-инит скрипте. И т.д, и т.п. Я вобще этого хозяйство использую совместно с chroot, плюс еще некоторые параноидальные проверки, типа TPE (linux only) :-) По поводу действенности rbash у меня как-то давно была дискусия здесь на форуме :-)

я решил эту проблему, как истинный слаковод. сварганил скрипт на sh, который выполняет роль юзерского шелла. монтирует через nullfs заранее созданный и один для всех бинарный темплейт со структурой (/bin/, /etc/ и т.д), пользователю в хомяк, запускает chroot. после выхода из chroot делается обратное размонтирование. это краткая идея, но там много-много костылей :)

> т.е. во всяком случае лазали не по серверным системным папкам.

на важные конфиги и на /root выставил соответствующие права, по остальному пусть шарятся наздоровье, это им ничего не даст. Так же выставлял квоты на системные ресурсы.

PS сеть для юзеров на фаерволе прикрой.

> на важные конфиги и на /root выставил соответствующие права, по остальному пусть шарятся наздоровье, это им ничего не даст. Так же выставлял квоты на системные ресурсы.

Я б так и сделал, мне то по барабану, но начальству "не кошерно".

> Я б так и сделал, мне то по барабану, но начальству "не кошерно".

Тады селинукс раскочегарь, жутко кошерно и звучит страшно.

См. выше - система FreeBSD. Хотя вообще что-нибудь страшно звучащее покатит ;).

> что-нибудь страшно звучащее покатит

Тоды MAC попробуй: http://www.freebsd.org/doc/en/books/handbook/mac.html

Ааа, тот самый тонкий ACL для фряхи... Тоже не катит (долго) но на заметку возьму, в следующий раз так и сделаю может;).