SFTP Chroot环境下sshd暴露authorized_keys绝对路径的配置优化咨询

我来帮你分析这个问题，并给出两个可行的解决方案：

首先，这个问题的根源是：当你使用sftp -v开启客户端调试时，OpenSSH服务器（sshd）会将认证过程中加载授权密钥文件的详细信息返回给客户端，其中就包含了authorized_keys文件的真实绝对路径——这确实会暴露你的chroot jail的结构，存在信息泄露的风险。

方案一：调整sshd日志级别，限制客户端调试信息输出 #

你可以针对该SFTP用户单独设置更低的日志级别，让sshd不再向客户端发送包含密钥文件路径的调试内容。

修改你的/etc/ssh/sshd_config中的Match块，添加LogLevel ERROR配置：

Match User myname
    AllowTcpForwarding no
    X11Forwarding no
    ChrootDirectory /somedir/jail/myname
    AuthorizedKeysFile /somedir/jail/myname/home/myname/.ssh/authorized_keys
    LogLevel ERROR

原理：LogLevel不仅控制sshd本地日志的输出详细程度，同时也会限制发送给客户端的调试信息级别。设置为ERROR后，只有严重错误信息会被发送到客户端，那些包含文件路径的认证细节就不会再出现在sftp -v的输出里了。

修改后记得重启sshd服务生效：

sudo systemctl restart sshd

方案二：用AuthorizedKeysCommand替代直接指定AuthorizedKeysFile #

这个方案通过脚本动态加载授权密钥，让sshd的调试信息只显示脚本路径，而不是真实的密钥文件路径，从而隐藏chroot的结构。

1. 创建一个读取指定用户密钥文件的脚本，比如/usr/local/bin/get_sftp_keys：

#!/bin/bash
# 参数%u会被sshd替换为当前登录的用户名
USER="$1"
KEY_FILE="/somedir/jail/$USER/home/$USER/.ssh/authorized_keys"

if [ -f "$KEY_FILE" ]; then
    cat "$KEY_FILE"
fi

2. 给脚本添加可执行权限：

sudo chmod +x /usr/local/bin/get_sftp_keys
sudo chown root:root /usr/local/bin/get_sftp_keys

3. 修改/etc/ssh/sshd_config的Match块，替换AuthorizedKeysFile为AuthorizedKeysCommand相关配置：

Match User myname
    AllowTcpForwarding no
    X11Forwarding no
    ChrootDirectory /somedir/jail/myname
    AuthorizedKeysCommand /usr/local/bin/get_sftp_keys %u
    AuthorizedKeysCommandUser root

原理：sshd会调用指定的脚本获取用户的授权密钥，此时调试信息里只会显示脚本的路径（/usr/local/bin/get_sftp_keys），而不会暴露真实的authorized_keys文件所在的chroot路径。

同样，修改后重启sshd服务即可生效。

补充说明 #

• 方案一操作更简单，适合快速解决问题；方案二更灵活，如果你有多个chroot用户，可以通过脚本统一管理密钥路径，避免重复配置。
• 注意：不管用哪种方案，都要确保authorized_keys文件及其父目录的权限符合sshd的要求（一般要求文件权限为600，目录权限为700或755且属主为root或用户本人），否则会导致认证失败。

备注：内容来源于stack exchange，提问作者rdelangh