SSH oder Alternative - aber kein gläsernes System!

[Kümmelkorn]

Hallo,

ich bin dabei, zu versuchen, mir einen SVN Server unter OS X Leopard einzurichten. Das klappt soweit auch erst mal ganz gut, allerdings möchte ich nun, dass man auf diesen Server übers Internet zugreifen kann (DynDns ist schon eingerichtet).

Bei der SVN Einrichtung bin ich anfangs nach einer Anleitung von wegus aus dem Entwickler-Forum vorgegangen, deshalb liegen meine Repos z.Z. im Verzeichnis /Users/Shared/SVN Repositories.

Ich nahm an, dass ich zur Internetfreigabe SSH brauche, also hab ich es kurzerhand aktiviert - und bin ziemlich erschrocken!
Über SSH scheint mein komplettes System gläsern zu werden! Für SSH braucht man wohl System-Nutzer, und diese haben natürlich Zugriff auf fast alles (mind. mal Lesezugriff).

Das Problem: Unter /Users/Shared liegt noch so allerlei anderes, was niemand was angeht (u.a. eine Software Lizenz!). Außerdem möchte ich nicht, dass jeder mein System ausspionieren kann - das geht niemanden was an! Z.B. auch, welche Nutzer auf dem System noch so eingerichtet sind sollte geheim sein!

Ist das überhaupt möglich? Ich weiß, ich kann Dateien die Leserechte entziehen, aber wenn ich das /Users-Verzeichnis sperre, ist mein Repo-Verzeichnis auch nicht mehr zugänglich, zudem muss ja Zugang dazu sein, wenn sich jemand einloggen will...
außerdem würde ich gern vermeiden, alle Rechte im kompletten System verändern zu müssen - nicht, dass ich was kaputt mache, ich habe kein Backup (und derzeit auch keine externe Platte für sowas)!

Geht das auch einfacher? Vielleicht gibts ja ne Alternative zu SSH oder man kann das ganz einfach lösen?

Gruß, Micha

PS: Keine ahung, ob das Thema ins Entwickler-, Mac OS X- oder UNIX-Forum gehört... bitte notfalls verschieben.

 

[Kümmelkorn]

Das Problem hat sich erledigt, ich habe gemerkt, dass ich viel zu kompliziert gedacht habe. Hab nun einen funktionierenden SVN Server, mit dem ich fürs erste zufrieden bin!

Gruß, Micha

 

[wegus]

Fein

aber der SSH-Zugang von außen ist auch nicht so ganz problematisch wenn man eine gute Firewall dazwischen hat und via Port-Mapping nicht den Standardport benutzt. Ich nutze für sowas einen alten Mac mini G4 auf dem jetzt ein Debian läuft. Wer es ganz sicher haben will schaltet bei SSH die Authentifizierung via Passwort aus und erlaubt nur noch Zertifikate und man kann auch noch einen knock-Dämon davorschalten der den geheimen ssh-Port nur dann freischaltet wenn vorher auf verschiedenen Ports in festgelegter Reihenfolge "angeklopft wurde". SSH ist also nicht wirklich unsicher und es ist jedem selbst überlassen wo die Schmerzgrenze liegt.

Auf meinem Server habe ich mich mit einem ssh-verbot für root, einem anderen Port und nichttrivialen Paßworten zufriedengegeben. Bis heute hatte ich dort noch keinen ungebetenen Besuch. Ich nutze den SSH-Zugriff öfter, SVN mache ich sogar via https von dort.

 

[Kümmelkorn]

Problematischer wird SSH allerdings dann, wenn man einem Team Zugang dazu beschaffen möchte. Es geht darum, dass ich für Kommilitonen und mich einen SVN Server aufsetzen will. Gleichzeitig möchte ich, dass meine Kommilitonen nicht in meinem System rumschnüffeln (ich vertraue ihnen zwar, aber es geht auch ein bisschen ums Prinzip).

Mal abgesehen davon, dass man SSH nicht für entfernten Zugang auf SVN Server braucht, hört bei diesen Anforderungen SSH eben genau auf!? Ich wollte einen SSH Nutzer, der auf sein /Users/SSHNutzer normalen Zugriff hat, aber das Verzeichnis /Users/Otto gar nicht erst sieht - nicht mal dessen Existenz mitbekommt! Restricted Bash funktioniert mit (Open-)SSH nicht bzw. nur über chroot, was wohl ziemlich kompliziert einzurichten ist, außerdem hat Restricted Bash immernoch Lesezugriff auf /Users. Mit Unix-Rechten kann man auch nix machen, da ja der SSH Nutzer Leserechte an /Users braucht, weil er sonst nicht in sein Nutzer-verzeichnis kommt.

Einzige mit bekannte Möglichkeit wäre, das User-Verzeichnis von des SSH Nutzers irgendwo anders zu speichern (z.B. /sshNutzer) und ihm für /Users keine Rechte zu geben, aber das scheitert am fehlenden adduser-Befehl unter OS X. Außerdem hat man so unsortierte User-Verzeichnisse, was irgendwie doof ist.

Wenn noch jemanden eine Alternative einfällt, bin ich weiterhin interessiert, auch wenn es nicht mehr so dringend ist - ich würde das trotzdem gern einrichten können.
Ich hoffe, die Problematik ist klargeworden, ansonsten könnt ihr gern rückfragen!

 

[wegus]

ch wollte einen SSH Nutzer, der auf sein /Users/SSHNutzer normalen Zugriff hat, aber das Verzeichnis /Users/Otto gar nicht erst sieht

öhm das wird unter UNIX glaub ich schwierig. Kein Zugang klar o.k., aber von der Existenz eines Verzeichnisses gar nichts wissen!? Welchen Sinn sollte das machen? Spätestens wenn der User ein Verzeichnis gleichen Namens anlegen wollen würde müßte man ihm doch sagen, dass das nicht geht weil schon ein solches existiert! Auch Windows zeigt Verzeichnisse an, in die, man nicht hineindarf. Wo hast Du denn ein solches Verhalten gesehen?