Configurazione OpenWrt / LEDE per SFTP

Voglio usare il mio router (A TP-Link WDR3600) con LEDE 17.01.4 come server SFTP per archiviare i miei backup creati con borg. So già come eseguire i backup e configurare un'unità USB, ciò che non so è come configurare correttamente la parte del server SFTP per sicurezza e manutenibilità, come:

• Devo creare un utente dedicato?
• In tal caso, come limitare le autorizzazioni per l'utente di backup, in modo che non possa sbirciare nei file sensibili nel filesystem?

Sto fondamentalmente cercando le migliori pratiche per eseguire un server SFTP sano, ma usando l'ambiente limitato di un sistema incorporato. Se possibile, preferirei non usarlo opensshpoiché non è integrato nel sistema UCI.

La mia domanda potrebbe essere troppo ampia, per favore fatemi sapere se è così.

Devo creare un utente dedicato?

Sì. Crea un utente senza privilegi denominato borg. Di seguito è riportato exceprt dalla documentazione di OpenWrt:

Quindi fai questo dal momento che vuoi usare il incluso dropbeare non openssh-server:

Il modo in cui funziona: qualsiasi account che può SSH può utilizzare SFTP e, una volta creato l'account sul sistema locale e, facoltativamente, impostare le chiavi, è possibile SFTP immediatamente.

In tal caso, come limitare le autorizzazioni per l'utente di backup, in modo che non possa sbirciare nei file sensibili nel filesystem?

Gli utenti non root non potranno fare molto al di fuori delle loro home directory, che non sono impostate con permessi aperti.

Per impedire ad altri utenti non root di modificare i borgfile di proprietà, utilizzare l borg' umaskopzione con un valore di 027- questo renderà i nuovi file inaccessibili a chiunque tranne rooto borg.