# /etc/crypto-sshd_config - Конфигурация аварийного SSH-контура расшифровки Melawy OS

# 1. Сетевые параметры рантайма initramfs
Port 22
Protocol 2
AddressFamily any
ListenAddress 0.0.0.0

# 2. Криптографические ключи хоста внутри ОЗУ рамдиска
# Dracut принудительно запечет эти ключи из /etc/ssh/ или сгенерирует их в рантайме
HostKey /etc/ssh/ssh_host_rsa_key
HostKey /etc/ssh/ssh_host_ed25519_key

# 3. Жесткое логирование для отладки сетевой сессии из TTY консоли
SyslogFacility AUTH
LogLevel INFO

# 4. Аутентификация и защита от подбора паролей
LoginGraceTime 60
PermitRootLogin yes
StrictModes no
MaxAuthTries 5

# 5. КЛЮЧЕВОЙ КОНТУР ИЗОЛЯЦИИ И ПЕРЕХВАТА УПРАВЛЕНИЯ (ст. 274 УК РФ комплаенс)
# Намертво блокируем запуск стандартного Bash/Sh шелла.
# Любое успешное SSH-подключение принудительно перенаправляется на твой скрипт разблокировки.
ForceCommand /usr/bin/luks-unlock-shell

# Выключаем перенаправление графики и портов, чтобы исключить скрытые туннели внутри initramfs
X11Forwarding no
AllowTcpForwarding no
AllowAgentForwarding no
PermitTTY yes
PermitUserEnvironment no

# 6. Отключаем подсистемы (SFTP внутри раннего рамдиска физически отсутствует и вызовет сбой)
Subsystem sftp /bin/false