From bf0ceec48f161368404d4ce40a278195777e8149 Mon Sep 17 00:00:00 2001
From: Sergey Matveev <stargrave@stargrave.org>
Date: Tue, 17 Mar 2026 13:11:21 +0300
Subject: [PATCH] =?utf8?q?=D0=90=D0=BD=D0=BE=D0=BD=D0=B8=D0=BC=D0=BD=D1=8B?=
 =?utf8?q?=D0=B5=20rsync=20=D0=B8=20SFTP?=
MIME-Version: 1.0
Content-Type: text/plain; charset=utf8
Content-Transfer-Encoding: 8bit

https://datatracker.ietf.org/doc/html/draft-ietf-secsh-scp-sftp-ssh-uri-04
Ð 3136e07d90bf973abaf9fda3bad7e343a58c0be6 ÑÐ¿Ð¾Ð¼Ð¸Ð½Ð°Ð» Ð¿ÑÐ¾ ÑÐ¾, ÑÑÐ¾ Ð¼Ð¾Ð¶Ð½Ð¾
ÑÐ´ÐµÐ»Ð°ÑÑ Ð°Ð½Ð¾Ð½Ð¸Ð¼Ð½ÑÐ¹ Git SSH Ð´Ð¾ÑÑÑÐ¿. Ð f514d4292f5331c23293e65bce01a67b771004d7
ÑÐ¿Ð¾Ð¼Ð¸Ð½Ð°Ð» Ð¿ÑÐ¾ ÑÐ¾Ð·Ð´Ð°Ð½Ð¸Ðµ SFTP-only ÑÑÑÑÐ½Ð¾Ð¹ Ð·Ð°Ð¿Ð¸ÑÐ¸.

Ð ÐºÑÐ¾ Ð¼ÐµÑÐ°ÐµÑ ÑÐ´ÐµÐ»Ð°ÑÑ SFTP-only ÑÑÑÑÐºÑ Ð´Ð»Ñ "Ð°Ð½Ð¾Ð½Ð¸Ð¼Ð½Ð¾Ð³Ð¾" Ð¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÐµÐ»Ñ? ÐÐ¾
ÑÑÐ¾Ð±Ñ read-only Ð·Ð°Ð¿Ð¸ÑÑ Ð±ÑÐ»Ð°?

    Match User anonwww
        PasswordAuthentication yes
        PermitEmptyPasswords yes
        DisableForwarding yes
        PermitTTY no
        ChrootDirectory /home/www/www
        ForceCommand internal-sftp -R -d /home/www/www

Ð ÑÐµÐ¿ÐµÑÑ Ð²Ð¾Ð¾Ð±ÑÐµ Ð²ÑÐµ Ð¼Ð¾Ð¸ web-ÑÐ°Ð¹ÑÑ Ð´Ð¾ÑÑÑÐ¿Ð½Ñ Ð´Ð»Ñ ÑÐºÐ°ÑÐ¸Ð²Ð°Ð½Ð¸Ñ ÑÐµÑÐµÐ· SFTP.
ÐÐ¸ÑÐµÐ³Ð¾ ÑÐºÑÑÑÐ¾Ð³Ð¾ Ð² Ð½Ð¸Ñ Ð½ÐµÑ, Ð¿Ð¾ÑÑÐ¾Ð¼Ñ Ð¾ÑÐ´Ð°Ð½Ð° Ð²Ð¾Ð¾Ð±ÑÐµ Ð²ÑÑ www Ð´Ð¸ÑÐµÐºÑÐ¾ÑÐ¸Ñ.
ÐÐµÐ· Ð²ÑÑÐºÐ¸Ñ TLS Ñ ÑÑÐ¸Ð¼ X.509 ÑÐµÑÑÐ¸ÑÐ¸ÐºÐ°ÑÐ°Ð¼Ð¸ Ð¸ Ð¿ÑÐ¾Ð±Ð»ÐµÐ¼Ð°Ð¼Ð¸ Ñ CA,
Ð°ÑÑÐµÐ½ÑÐ¸ÑÐ¸ÑÐ¸ÑÐ¾Ð²Ð°Ð½Ð½ÑÐ¹ (TOFU) Ð¸ ÑÐ¸ÑÑÐ¾Ð²Ð°Ð½Ð½ÑÐ¹ ÑÐ°Ð¹Ð»Ð¾Ð²ÑÐ¹ ÑÐµÑÐ²ÐµÑ. ÐÐ¾Ð¶Ð½Ð¾ ÑÐ°Ðº Ð¸
tarball (a7a8c413b750923b24592d77985372b05b65f05f) Ð¿Ð¾Ð»ÑÑÐ°ÑÑ:
scp anonwww@msk.www.cypherpunks.su:goredo.cypherpunks.su/download/goredo-2.9.1.tar.zst
scp anonwww@spb.www.cypherpunks.su:goredo.cypherpunks.su/download/goredo-2.9.1.tar.zst

ÐÑÑÑ ÑÐµÑÐ½Ð¾Ð²Ð¸Ðº RFC Ð´Ð»Ñ ÑÐºÐ°Ð·Ð°Ð½Ð¸Ñ sftp:// URI, Ð² ÐºÐ¾ÑÐ¾ÑÐ¾Ð¼ Ð´Ð°Ð¶Ðµ ÐµÑÑÑ
Ð²Ð¾Ð·Ð¼Ð¾Ð¶Ð½Ð¾ÑÑÑ ÑÐºÐ°Ð·Ð°Ð½Ð¸Ñ Ð¾ÑÐ¿ÐµÑÐ°ÑÐºÐ° ÐºÐ»ÑÑÐ° ÑÐ¾ÑÑÐ°. ÐÐ¾ ÑÐ°Ð¼ Ð¿ÑÐµÐ´Ð»Ð°Ð³Ð°ÑÑ MD5
Ð¸ÑÐ¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÑ. ÐÐµÑ, Ð½Ð° ÑÐ°ÐºÐ¾Ðµ Ð½Ðµ Ð¿Ð¾Ð¹Ð´Ñ. ssh-keygen -l Ð²ÑÐ²Ð¾Ð´ Ð´ÐµÐ»Ð°ÐµÑ Ð¿Ð¾
ÑÐ¼Ð¾Ð»ÑÐ°Ð½Ð¸Ñ SHA-256, Ð½Ð¾ Ð² ÑÐ¸ÑÑÐ¾Ð¼ (Ð½Ðµ urlsafe) Ð²Ð¸Ð´Ðµ, ÑÑÐ¾ Ð½Ðµ Ð¿ÑÐ¸Ð³Ð¾Ð´Ð½Ð¾ Ð´Ð»Ñ
Ð²ÑÑÐ°Ð²ÐºÐ¸ Ð² URI as-is. ÐÐ¾ÑÑÐ¾Ð¼Ñ Ð¿Ð¾ÐºÐ° Ð·Ð°Ð±Ð¸Ð» Ð½Ð° Ð¾ÑÐ¿ÐµÑÐ°ÑÐºÐ¸.

Ð£Ð´Ð¸Ð²Ð¸ÑÐµÐ»ÑÐ½Ð¾ Ð¼Ð½Ð¾Ð³Ð¾ Ð»ÑÐ´ÐµÐ¹ Ð½Ð°Ð´ÑÐµÑÑÐ¸ÑÐ¾Ð²Ð°Ð½Ñ Ð¶ÐµÐ»Ð°ÑÑ HTTPS Ð´Ð°Ð¶Ðµ Ð´Ð»Ñ ÑÐºÐ°ÑÐ¸Ð²Ð°Ð½Ð¸Ñ
tarball-Ð¾Ð² (087600cd166642c95809f63d4de0342d705d1c6a), Ð¿ÑÐ¾Ð²ÐµÑÑÐµÐ¼ÑÑ
Ð½Ð°Ð¿ÑÐ¾ÑÐ¸Ð² Ð·Ð°ÑÐ°Ð½ÐµÐµ Ð¸Ð·Ð²ÐµÑÑÐ½ÑÑ ÐºÐ¾Ð½ÑÑÐ¾Ð»ÑÐ½ÑÑ ÑÑÐ¼Ð¼. ÐÐ¾ Ð¿ÑÐ¸ ÑÑÐ¾Ð¼ Ð½Ð¸ÐºÐ¾Ð³Ð´Ð°, Ð½Ð¸
ÑÐ°Ð·Ñ Ð½Ðµ Ð²ÑÑÑÐµÑÐ°Ð» ÑÑÐ¾Ð±Ñ Ð»ÑÐ´Ð¸ Ð¿ÑÐ¾ÑÐ¸Ð»Ð¸ Ð¾Ð±ÐµÐ·Ð¾Ð¿Ð°ÑÐ¸ÑÑ rsync ÑÐ¾ÑÐºÐ¸ Ð²ÑÐ¾Ð´Ð°! Ð¥Ð¾ÑÑ,
ÑÐºÐ¾ÑÐµÐµ Ð²ÑÐµÐ³Ð¾, ÑÑÐ¾ Ð´Ð²Ð° ÑÐ°Ð·Ð½ÑÑ Ð½ÐµÐ¿ÐµÑÐµÑÐµÐºÐ°ÑÑÐ¸ÑÑÑ Ð¼Ð½Ð¾Ð¶ÐµÑÑÐ²Ð° Ð»ÑÐ´ÐµÐ¹. ÐÐ¿ÑÐ¾ÑÐµÐ¼
Ð½Ð° Ð¼Ð½Ð¾Ð³Ð¸Ñ ÑÑÑÐ°Ð½Ð¸ÑÐ°Ñ Ñ Ð¾Ð¿Ð¸ÑÐ°Ð½Ð¸ÐµÐ¼ Ð·ÐµÑÐºÐ°Ð», Ð¾ÑÐµÐ½Ñ ÑÐ¾ÑÑÑ HTTPS, Ð¾Ð¿ÑÐ¸Ð¾Ð½Ð°Ð»ÐµÐ½
HTTP, Ð½Ð¾ rsync Ð´Ð°ÑÑ as-is. ÐÐ¸Ð³Ð´Ðµ Ð½Ðµ Ð²ÑÑÑÐµÑÐ°Ð» rsync Ð·Ð°ÑÐ¸ÑÑÐ½Ð½ÑÐ¹ TLS-Ð¾Ð¼. ÐÐ¾
Ð¼Ð½Ð¾Ð³Ð¾ Ð»ÑÐ´ÐµÐ¹ Ð¸ÑÐ¿Ð¾Ð»ÑÐ·ÑÑÑ rsync ÑÐµÑÐµÐ· SSH.

Ð¢Ð°Ðº ÑÑÐ¾ Ð¶Ðµ Ð¼ÐµÑÐ°ÐµÑ ÑÐ´ÐµÐ»Ð°ÑÑ "Ð°Ð½Ð¾Ð½Ð¸Ð¼Ð½ÑÐ¹" SSH-secured rsync Ð´Ð¾ÑÑÑÐ¿?

    -- /etc/ssh/sshd_config --
    [...]
    Match User rsync
        PasswordAuthentication yes
        PermitEmptyPasswords yes
        DisableForwarding yes
        PermitTTY no

    # grep rsync /etc/passwd
    rsync:*:1011:1011::/home/rsync:/home/rsync/rsyncd

    -- /home/rsync/rsyncd --
    #!/bin/sh -e
    [ -n "$SSH_CONNECTION" ]
    exec rsync --daemon --server --config rsync.conf .

Ð Ð´Ð¾ÑÑÐ°ÑÐ¾ÑÐ½Ð¾ Ð´Ð¾Ð±Ð°Ð²Ð¸ÑÑ --rsh=ssh Ð¾Ð¿ÑÐ¸Ñ Ñ ÑÐºÐ°Ð·Ð°Ð½Ð¸ÐµÐ¼ Ð¿Ð¾Ð»ÑÐ·Ð¾Ð²Ð°ÑÐµÐ»Ñ Ð² rsync
ÐºÐ¾Ð¼Ð°Ð½Ð´Ðµ. ÐÑ Ð¸ Ð½Ðµ Ð·Ð°Ð±ÑÑÑ read only Ð¾Ð¿ÑÐ¸Ñ Ð² ÐºÐ¾Ð½ÑÐ¸Ð³Ðµ Ð²ÐºÐ»ÑÑÐ¸ÑÑ.

Ð­ÑÐ¾ Ð²ÑÑ Ð¼Ð¾Ð¶Ð½Ð¾ ÑÑÐ¸ÑÐ°ÑÑ Ð´Ð¾Ð¿Ð¾Ð»Ð½ÐµÐ½Ð¸ÐµÐ¼ Ðº befcbeb7b1d647ba15444dde02b87d97399185e5.

ÐÐ¾ Ð¿Ð¾Ð»Ð½Ð¾ÑÐµÐ½Ð½Ð¾Ð¹ Ð·Ð°Ð¼ÐµÐ½Ð¾Ð¹ SFTP Ð¾Ð±ÑÑÐ½Ð¾Ð¼Ñ FTP Ð½Ðµ ÑÐ²Ð»ÑÐµÑÑÑ. ÐÐ¾ÑÐ»Ðµ Ð¾ÑÐ½Ð¾ÑÐ¸ÑÐµÐ»ÑÐ½Ð¾
ÐºÐ¾ÑÐ¾ÑÐºÐ¸Ñ ÐºÐ¾Ð¼Ð°Ð½Ð´ Ð½Ð° ÑÑÐµÐ½Ð¸Ðµ/Ð·Ð°Ð¿Ð¸ÑÑ (Ð·Ð°Ð±ÑÐ», Ð½Ð¾ ÑÑÐ¾-ÑÐ¾ ÑÐ¸Ð¿Ð° 64KiB Ð²ÑÐ¾Ð´Ðµ) Ð¾Ð½
Ð¶Ð´ÑÑ Ð¿Ð¾Ð´ÑÐ²ÐµÑÐ¶Ð´ÐµÐ½Ð¸Ðµ Ð¿ÑÑÐ¼Ð°, ÑÑÐ¾ Ð¸Ð·-Ð·Ð° Ð·Ð°Ð´ÐµÑÐ¶ÐµÐº Ð±ÑÐ´ÐµÑ Ð¾Ð·Ð½Ð°ÑÐ°ÑÑ Ð½Ð¸Ð·ÐºÑÑ
ÑÐºÐ¾ÑÐ¾ÑÑÑ. HPN-SSH Ð¿Ð°ÑÑÐ¸ Ð¿Ð¾ Ð¸Ð´ÐµÐµ ÑÑÑÐµÑÑÐ²ÐµÐ½Ð½Ð¾ Ð´Ð¾Ð»Ð¶Ð½Ñ Ð¿Ð¾Ð¼Ð¾ÑÑ Ñ ÑÑÐ¸Ð¼, Ð½Ð¾
Ð»Ð¸ÑÐ½Ð¾ Ñ Ð½Ð¸ ÑÐ°Ð·Ñ Ð½Ðµ Ð¿ÑÐ¾Ð±Ð¾Ð²Ð°Ð» Ð¸Ñ, Ð´Ð° Ð¸ Ð½Ðµ ÑÑÐ¸ÑÐ°Ñ ÑÑÐ¾ ÑÐµÑÐµÐ· SSH Ð½Ð°Ð´Ð¾
high-performance Ð²ÐµÑÐ¸ Ð´ÐµÐ»Ð°ÑÑ.

ÐÐ¾Ð¾Ð±ÑÐµ, Ð¾Ð±ÑÑÐ½ÑÐ¹ FTP Ð¼Ð½Ðµ Ð´Ð°Ð¶Ðµ Ð½Ð°ÑÐ°Ð» Ð¿ÑÐ¸Ð³Ð»ÑÐ´ÑÐ²Ð°ÑÑÑÑ, Ñ ÑÐµÑ Ð¿Ð¾Ñ ÐºÐ°Ðº Ð½Ð°ÑÐ°Ð»
Ð¿Ð¸ÑÐ°ÑÑ Ð½Ð° Ð¡Ð¸. ÐÐµÐ´Ñ Ð´ÐµÐ¹ÑÑÐ²Ð¸ÑÐµÐ»ÑÐ½Ð¾ Ð¾ÑÐµÐ½Ñ Ð¿ÑÐ¾ÑÑÐ¾ ÑÑÑÑÐ¾ÐµÐ½: Ð¾Ð´Ð½Ð¾ ÑÐ¾ÐµÐ´Ð¸Ð½ÐµÐ½Ð¸Ðµ
Ð´Ð»Ñ Ð¾ÑÐ¿ÑÐ°Ð²ÐºÐ¸ ÑÑÑÐ¾ÑÐµÐº Ñ ÐºÐ¾Ð¼Ð°Ð½Ð´Ð°Ð¼Ð¸, Ð° Ð²ÑÐ¾ÑÐ¾Ðµ Ð³Ð´Ðµ ÑÐ¾Ð»ÑÐºÐ¾ ÑÐ¸ÑÑÑÐµ Ð±Ð°Ð¹ÑÑ
Ð¿ÑÐ¾ÑÐ°Ð»ÐºÐ¸Ð²Ð°ÑÑÑÑ Ñ ÑÐ¾Ð´ÐµÑÐ¶Ð¸Ð¼ÑÐ¼ ÑÐ°Ð¹Ð»Ð¾Ð². ÐÐ¸ÐºÐ°ÐºÐ¾Ð³Ð¾ Ð¼ÑÐ»ÑÑÐ¸Ð¿Ð»ÐµÐºÑÐ¸ÑÐ¾Ð²Ð°Ð½Ð¸Ñ ÑÑÐ¸Ñ
Ð´Ð²ÑÑ ÐºÐ°Ð½Ð°Ð»Ð¾Ð². ÐÐ°Ð¶Ðµ ÑÐ¾ÑÐµÑÑÑ ÑÐºÐ°Ð·Ð°ÑÑ, ÑÑÐ¾ ÑÐ»ÐµÐ³Ð°Ð½ÑÐ½Ð¾Ðµ ÑÐµÑÐµÐ½Ð¸Ðµ. ÐÐ¾...
Ð³ÐµÐ¼Ð¾ÑÑÐ¾Ð¹ Ð¾Ñ ÑÐ¾Ð³Ð¾ ÐºÐ°Ðº ÑÑÐ¾ Ð¿Ð¾Ð´ÑÑÐ¶Ð¸ÑÑ Ñ firewall-Ð¾Ð¼: Ð¿Ð¾Ð´Ð½Ð¸Ð¼Ð°ÑÑ Ð½Ðµ ÑÐ¾ÑÐµÑÑÑ.
Ð¥Ð¾ÑÑ Ð²ÐµÐ´Ñ Ð¼Ð¾Ð¶Ð½Ð¾ Ð±ÑÐ»Ð¾ Ð±Ñ ÑÐ´ÐµÐ»Ð°ÑÑ ÐµÑÑ Ð¾Ð´Ð½Ð¾ Ð¸ÑÑÐ¾Ð´ÑÑÐµÐµ ÑÐ¾ÐµÐ´Ð¸Ð½ÐµÐ½Ð¸Ðµ Ð¾Ñ ÐºÐ»Ð¸ÐµÐ½ÑÐ°
ÑÐµÑÐ²ÐµÑÑ, Ð¿ÐµÑÐµÐ´Ð°Ð²Ð°Ñ Ð² Ð½ÑÐ¼ ÑÐ½Ð¸ÐºÐ°Ð»ÑÐ½ÑÑ cookie, ÑÑÐ¾Ð±Ñ Ð¸Ð´ÐµÐ½ÑÐ¸ÑÐ¸ÑÐ¸ÑÐ¾Ð²Ð°ÑÑ
ÑÐ²ÑÐ·Ð°Ð½Ð½ÑÑ Ñ ÑÐ¾ÐµÐ´Ð¸Ð½ÐµÐ½Ð¸ÐµÐ¼ ÐºÐ¾Ð¼Ð°Ð½Ð´Ð½ÑÑ ÑÐµÑÑÐ¸Ñ. ÐÐ¾ ÐµÑÐ»Ð¸ FTP fork-Ð°ÐµÑÑÑ Ð´Ð»Ñ
Ð¾Ð±ÑÐ°Ð±Ð¾ÑÐºÐ¸ ÐºÐ¾Ð¼Ð°Ð½Ð´Ð½Ð¾Ð³Ð¾ ÑÐ¾ÐµÐ´Ð¸Ð½ÐµÐ½Ð¸Ñ, ÑÐ¾ Ð·Ð½Ð°ÑÐ¸Ñ Ð¾Ñ Ð³Ð»Ð°Ð²Ð½Ð¾Ð³Ð¾ Ð¿ÑÐ¾ÑÐµÑÑÐ° Ð½Ð°Ð´Ð¾
Ð±ÑÐ´ÐµÑ ÑÐ¼ÐµÑÑ Ð¿ÐµÑÐµÐ´Ð°Ð²Ð°ÑÑ ÑÑÐ¸ ÑÐ¾ÐµÐ´Ð¸Ð½ÐµÐ½Ð¸Ñ Ñ cookie ÐºÐ°Ðº-ÑÐ¾ -- ÑÐ¶Ðµ Ð·Ð½Ð°ÑÐ¸ÑÐµÐ»ÑÐ½Ð¾
ÑÐ»Ð¾Ð¶Ð½ÐµÐµ Ð¿ÑÐ¾Ð³ÑÐ°Ð¼Ð¼Ð¸ÑÐ¾Ð²Ð°ÑÑ. Ð Ð¾Ð±ÑÐµÐ¼, ÑÑÐ¾-ÑÐ¾ Ð² FTP ÐµÑÑÑ, Ð¾ÑÐ¾Ð±ÐµÐ½Ð½Ð¾
Ð¿ÑÐ¾Ð¸Ð·Ð²Ð¾Ð´Ð¸ÑÐµÐ»ÑÐ½Ð¾ÑÑÑ Ð¸Ð·-Ð·Ð° ÑÑÐ¾Ð³Ð¾ Ð¾ÑÐ´ÐµÐ»ÑÐ½Ð¾Ð³Ð¾ Ð½ÐµÑÐ¸ÑÑÐ¾Ð³Ð¾ TCP ÑÐ¾ÐµÐ´Ð¸Ð½ÐµÐ½Ð¸Ñ Ð´Ð»Ñ
Ð´Ð°Ð½Ð½ÑÑ.
-- 
2.52.0