Guten Tag,

seit dem 07.10.2026 lehnt der SSH-Zugang meines Hosting-Pakets jede Anmeldung mit einem Schlüssel ab, der in ~/.ssh/authorized_keys eine command=-Option hat. Schlüssel ohne Optionen funktionieren weiterhin.

Zeitpunkt: Die letzte erfolgreiche Anmeldung war am 07.10.2026 um 04:30 Uhr, der erste Fehlschlag am 08.10.2026 um 04:30 Uhr. Seitdem meldet der Server Lukko_0.67 CM4all, inzwischen Lukko_0.68 CM4all. Mit 0.68 hat sich am Verhalten nichts geändert (geprüft am 16.10.).

Ablauf: Der Server bestätigt den Schlüssel (Server accepts key) und lehnt dann die signierte Anmeldung ab: Permission denied (publickey,password).

Eingegrenzt am 08.10. mit fünf neu erzeugten Testschlüsseln:

• ohne Optionen: Anmeldung klappt
• command="…" allein, zusammen mit restrict (davor oder danach) oder mit no-*-Optionen: alle abgelehnt
• gleiches Ergebnis über IPv4 und IPv6, mit OpenSSH 10.0 und 10.3 und unabhängig von der Position in der Datei

Auslöser ist also jeder erzwungene Befehl.

Wozu ich das brauche: Ein Backup-System holt jede Nacht nur lesend Sicherungen ab, über command="/usr/bin/rrsync -ro <Verzeichnis>". Der erzwungene Befehl beschränkt den Schlüssel auf ein Verzeichnis und nur auf Lesen. Ohne ihn hätte der Schlüssel vollen Shell-Zugriff auf das Konto, und auf diese Einschränkung möchte ich nicht verzichten.

Meine Fragen:

1. Werden command=-Optionen in authorized_keys noch unterstützt?
2. Wenn ja: Können Sie das prüfen und beheben?
3. Wenn nein: Wie lässt sich ein Schlüssel unterstützt darauf beschränken, ein Verzeichnis nur lesend per rsync abzuholen?

Möglicherweise hilfreich: Im öffentlichen Lukko-Repository wird seit Version 0.68 an der Weitergabe von authorized_keys-Optionen über Proxys gearbeitet (Commit e10727e vom 16.10.2026).

Mit freundlichen Grüßen

Christopher Bayer