KeeneticOS 5.01: при каждом входе в CLI по SSH в журнале ошибка «access to "sftp" denied»

[Markushka]

Здравствуйте.

Устройство: Keenetic Peak (KN-2710), KeeneticOS 5.01.C.7.0-4. То же было на 5.01.C.6.0-1. Та же запись есть и в журналах наших Keenetic Giga (KN-1011) и Hero 4G.

При каждом входе в командную строку по SSH (порт 22, вход по паролю) в журнале появляется сообщение уровня err. У пользователя есть право «cli», права «sftp» нет, и клиент SFTP не запрашивает. Проверено с тремя клиентами: PuTTY 0.85, OpenSSH для Windows 9.5p2 и Devolutions RDM. Результат одинаковый:

 

11:34:30 dropbear: Child connection from 192.168.0.10:64326          <- PuTTY
11:34:40 ndm: Core::Authenticator: user "user" authenticated, realm "Keenetic Peak", tag "cli".
11:34:40 dropbear: Password authentication succeeded for 'user'@cli from 192.168.0.10:64326
11:34:40 ndm: Core::Authenticator: access to "sftp" denied for user "user".
11:34:42 ndm: Core::Session: client disconnected.
11:34:42 ndm: Core::Authenticator: "user" logged in, SSH authenticated.
11:34:51 dropbear: Exit (user) from <192.168.0.10:64326>: Exited normally

11:35:09 dropbear: Child connection from 192.168.0.10:52602          <- OpenSSH для Windows
11:35:22 ndm: Core::Authenticator: access to "sftp" denied for user "user".
11:35:23 ndm: Core::Session: client disconnected.
11:35:23 ndm: Core::Authenticator: "user" logged in, SSH authenticated.
11:35:31 dropbear: Exit (user) from <192.168.0.10:52602>: Disconnect received

Все строки каждого входа относятся к одному TCP-соединению (порт клиента один и тот же), отдельного SFTP-соединения нет. Похоже, что при входе ndm проверяет и право «sftp», записывает отказ как ошибку и закрывает внутреннюю сессию («Core::Session: client disconnected»), после чего вход в CLI проходит нормально.

Почему это мешает:

• сообщение уровня err при каждом обычном входе засоряет журнал и syslog-мониторинг и выглядит как попытка несанкционированного доступа;
• оно вводит в заблуждение: мы сначала решили, что SSH-клиент открывает лишнее SFTP-соединение, и сообщили об ошибке разработчику клиента;
• выдать пользователю право «sftp» нельзя: тогда у него появится доступ к файлам, который ему не нужен.

О таком же сообщении писали в 2020 году на 2.16 (https://forum.keenetic.ru/topic/8801-sftp-в-логе/), тогда предложили его просто игнорировать. На 5.01 оно по-прежнему появляется.

Просьба: не проверять право «sftp» при входе в CLI (проверять его только при запросе подсистемы sftp) или хотя бы понизить уровень сообщения до info/debug.

Файл self-test могу прислать в личные сообщения.

Спасибо.