Én a /bin/false-t szoktam használni, mint az átmenetileg kitiltásandó userek login shell-jét. (Tudom, nem tökéletes, van más mód is, de ez elég kézreálló, legalábbis nekem.)