rbashとは?実例でわかる制限付きBashシェルの仕組みと使い方

Linuxシェルは、GNU/Linux環境における最も強力で魅力的なツールのひとつです。X Window Systemをはじめとするすべてのアプリケーションはシェルを基盤として動作しており、Linuxシェルを使えばシステム全体を精密に制御できます。しかし一方で、コマンドの影響を理解せずに実行してしまうと、システムに深刻な被害をもたらす危険性も秘めています。

特に初心者ユーザーにとって、誤操作によるトラブルは大きなリスクです。そこで役立つのが「制限付きシェル」です。本記事では、rbash(制限付きBash)の概要から、実際に適用される制限内容、有効化の手順、メリット・デメリットまで詳しく解説します。

rbash(Restricted Shell)とは?

制限付きシェル(rbash)とは、標準のbashシェルが持つ一部の機能を意図的に制限したLinuxシェルです。その名の通り、シェル上で実行されるコマンドやスクリプトに対して厳格な制約が課されます。これにより、通常のbashにはない追加のセキュリティレイヤーが提供され、誤操作や悪意ある操作からシステムを保護できます。

rbashで実装されている主な制限

1. cd コマンドによるディレクトリ移動の禁止
2. PATH 環境変数の設定・解除の禁止
3. ENV(BASH_ENV)環境変数の設定・解除の禁止
4. 関数のインポートの禁止
5. 引数に「/」を含むファイル名の指定禁止
6. 引数に「-」を含むファイル名の指定禁止
7. >、>>、>|、<>、>&、&> などによる出力リダイレクトの禁止
8. set +r や set +o による制限解除の禁止

注意: rbashの制限は、起動時に読み込まれるスタートアップファイル(rcファイルなど)が処理された後に適用されます。そのため、スタートアップファイル経由で制限を回避されないよう、設定には注意が必要です。

制限付きシェルを有効化する方法

Red HatやCentOSなど一部のGNU/Linuxディストリビューションでは、rbashが直接用意されていない場合があります。その際は、以下のようにbashへのシンボリックリンクを作成することで対応できます。

# cd /bin

# ln -s bash rbash

現在主流のGNU/Linuxディストリビューションの多くでは、rbashはデフォルトで利用可能です。もし存在しない場合は、ソース tarball をダウンロードして、自分のシステムにソースからインストールすることもできます。

rbashの起動方法

Linux上でrbash(制限付きシェル)を起動するには、次のコマンドを実行します。

# bash -r

または

# rbash

注意: rbashが正常に起動すると、戻り値として0が返されます。

制限が機能しているか確認してみる

ここで、rbashシェル上でいくつかのコマンドを実行し、制限が正しく働いているかを確認してみましょう。

# cd

rbash: cd: restricted

# pwd > a.txt

bash: a.txt: restricted: cannot redirect output

このように、ディレクトリ移動やファイルへの出力リダイレクトがブロックされ、制限付きシェルとして正しく動作していることが分かります。

制限付きシェルのメリット

• chroot jail(chroot監獄)と組み合わせて使用することで、システム全体へのアクセスをさらに限定でき、多層的なセキュリティ対策が可能になります。

制限付きシェルのデメリット

• 完全に信頼できないソフトウェアの実行を許可する用途には不十分です。
• シェルスクリプトとして認識されたコマンドが実行されると、そのスクリプトを実行するために生成されたシェルでは、rbashの制限が解除されてしまいます。
• ユーザーがrbashからbashやdashを起動すると、制限のないシェルを取得できてしまいます。
• 自分が何をしているのかを十分に理解していない限り、rbashはchroot環境内でのみ使用すべきです。
• 制限付きbashシェルからの脱出(エスケープ)手法は数多く存在し、事前にすべてを予測することは困難です。

まとめ

rbashは、制限された環境で作業を行うための優れたツールであり、非常に高い効果を発揮します。セキュリティを強化したいサーバー管理者や、限定的なシェル環境をユーザーに提供したい方は、ぜひ一度試してみてください。きっと期待を裏切らない結果となるでしょう。

今回は以上です。今後も、読者の皆様に楽しんでいただける有益な技術トピックをお届けしていきます。ご感想やフィードバックがございましたら、ぜひコメント欄でお聞かせください。