authorized_keysに書く no-pty と command="" の意味

2004-11-17 に書いた「ssh scp sftp の正しい自動実行方法」の誤りについて指摘を頂いた。

ssh scp sftp の正しい自動実行方法 ぴろ日記
http://www.banana-fish.com/~piro/20041122.html#p01

> 下記は公開鍵の例。引用の際に改行を入れてしまっているが、実際は一行。
> from="*.example.com",no-port-forwarding,no-X11-forwarding, no-agent-forwarding,no-pty ssh-dss AAAAB3N...

えっと、authorized_keys自体を書き換えられる権限を、パスフレーズなしの鍵に与えてしまうと、結局ノーガードと同じことになってしまうです。悪い人の鍵でなんでもできるようにしたauthorized_keysをリモートにscpして一丁あがり。
あと、これも時々目にする勘違いだけど、「no-pty」は仮想端末とれなくなるだけで、シェルが取れなくなるわけじゃないので、仮想端末取らないで「ssh remotehost '/bin/sh' < 悪のスクリプト」とかやるだけの話。

指摘してくださってありがとうございます。穴を開けたまま運用するところでした。

確かに、上記のオプションのみに権限の限定を頼った場合、authorized_keys2 を上書きできてしまいますね。http://www.banana-fish.com/~piro/20040609.html#p06 に書かれてたことをスクリプトに反映できてない悪い見本になってました。2004-11-17 や 2004-11-18 の関連する部分に追記しました。なんで気づかなかったんだろう。

no-pty については誤解していました。なるほど、no-pty だけでは不十分というか、そもそも用途が違うわけですね。実行するコマンドを制限するなら、commmand="" を使わないと無意味だと。勉強になりました。実際に試してみたら楽勝で任意のコマンドをリモートで実行することができました。指摘を含め、2004-11-17 に追記しました。

2004-11-17 を書く前に、command="sleep 80000;" と no-pty をオプションに追加した公開鍵で scp を試していたのですが、sleep だけされてファイルの転送が全くなされないという結果に終わったため、command="" を外した権限の限定が不十分な公開鍵となったのでした。

その後は 2004-11-20 の以下のやり方を使うようにしています。

no-port-forwarding,no-X11-forwarding,no-agent-forwarding,no-pty,command="umask 077; f=backup`date +%F-%H%M%S`.encoded; echo $f; cat >/home/hiroaki/backup/$f;",from="*.example.com" ssh-dss AAAAB3N (略)