Úvod
Původní návrh protokolu FTP nepočítá s žádným typem zabezpečení při vzájemné komunikaci klient-server. Znamená to tedy, že přenášené heslo a následně i přenášená data jsou velmi snadno zachytitelná a tedy i zneužitelná. Používání samotného FTP bez dalšího rozšíření je velmi riskantní.
Jak tedy zajistit zabezpečený přenos dat, např. skrz Internet? Shrnutí možností je např.
v tomto článku na root.cz. Osobně bych vybíral pouze mezi SFTP (obsaženo v rámci OpenSSH) a FTPS (FTP + SSL/TLS vrstva). Pokud máme server kam se připojují uživatelé, kteří potřebují i shell a jsou pro nás důvěryhodní, tak je to jasné a zvolíme SFTP.
Na druhou stranu, pokud jsme doteť na serveru poskytovali standardní FTP přístup pro různý druh uživatelů, kterým nechceme umožnit nic jiného, než jen stahovat a ukládat data, pak je FTPS jasná volba.
V tomto článku je tedy popsáno, jak doplnit klasický FTP server o zabezpečenou "nadstavbu" pomocí protokolu SSL nebo TLS.
Instalace
Instalaci jsem prováděl na distribuci
Raspbian určené pro zařízení Raspberry Pi, ale nevidím důvod proč by tento návod neměl fungovat na klasickém Debianu, nebo Ubuntu.
Nejprve nainstalujeme FTP deamona, pokud ještě nemáte. Já jsem použil
vsftpd které je myslím hodně rozšířené a dostatečně prověřené.
sudo apt-get install vsftpd
Dále potřebujeme implementaci protokolů SSL a TLS. Nejběžnější je volně šiřitelné
OpenSSL. V Raspbianu je myslím už obsaženo. Pro jistotu:
sudo apt-get install openssl
Nyní si můžeme vytvořit vlastní SSL certifikát. Není to sice nutnost, ale proč toho nevyužít. Certifikáty jsou umístěny v /etc/ssl/private.
Pokud složka zatím neexistuje, vytvoříme ji takto:
mkdir -p /etc/ssl/private
A změníme oprávnění
chmod 700 /etc/ssl/private
Pomocí OpenSSL vygenerujeme certifikát takto:
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout /etc/ssl/private/vsftpd.pem -out /etc/ssl/private/vsftpd.pem
Jen ve zkratce co je v příkazu: platnost 1 rok, použité šifrování je
RSA s délkou 2048 bitů. Pro další podrobnosti doporučuji další
článek na root.cz.
Nyní se postupně objeví série položek které je potřeba "nějak rozumně" vyplnit.
Country Name (2 letter code) [AU]: CZ
State or Province Name (full name) [Some-State]: Czech Republic
Locality Name (eg, city) []: Město
Organization Name (eg, company) [Internet Widgits Pty Ltd]: Název společnosti
Organizational Unit Name (eg, section) []: Název oddělení.
Common Name (eg, YOUR name) []: Celé jméno
Email Address []: Váš email
Ted je na řadě konfigurace vsftpd. Konkrétně úprava souboru vsftpd.conf.
sudo nano /etc/vsftpd.conf
Do souboru přidejte (např. na konec) následující:
# Zapne SSL
ssl_enable=YES
# Povoluje anonymnim uzivatelum pouzivat zabezpecene SSL.
allow_anon_ssl=YES
# Vsichni neanonymni uzivatele jsou povinni pouzivat SSL pri prenosu.
force_local_data_ssl=YES
# Vsichni neanonymni uzivatele jsou povinni pouzivat SSL pri zadavani hesla.
force_local_logins_ssl=YES
# Povoluje pripojeni pomoci protokolu TLS v1. TLS v1 je preferovano.
ssl_tlsv1=YES
# Povoluje pripojeni pomoci protokolu SSL v2. TLS v1 je preferovano.
ssl_sslv2=NO
# Povoluje pripojeni pomoci protokolu SSL v3. TLS v1 je preferovano.
ssl_sslv3=NO
# Vypne znovuuziti SSL (vyzadovano v WinSCP)
require_ssl_reuse=NO
# Vyber SSL sifry, kterou vsftpd bude pouzivat pro
#sifrovani SSL spojeni (vyzadovano ve FileZille)
ssl_ciphers=HIGH
# Cesta k ulozenym RSA certifikatum.
rsa_cert_file=/etc/ssl/private/vsftpd.pem
Pokud necháme nastaveno force_local_logins_ssl=YES a force_local_data_ssl=YES bude pro přihlášení i přenos souborů použito výhradně TLS. Pokud bude mít uživatel klienta, který TLS nepodporuje, nelze se přihlásit. Pokud u těchto dvou možností změníme hodnoty na NO, umožníme klientům spojení i jinak, než přes TLS, tedy např SSL v2 a v3. Klienti, jako je WinSCP a FileZilla nemají problém ani s jedním.
Restartujeme vsftpd.
sudo /etc/init.d/vsftpd restart
Připojení ve Windows
Jako jednoduchého klienta lze doporučit
FileZillu . Zde by mělo fungovat rychlé přihlášení v horní liště programu. Klient
ale měl problém rozpoznat typ a verzi šifrovacího protokolu, proto je
lepší vytvořit ve Správci míst nové připojení, viz. obrázek č. 1.
 |
| Obrázek č.1: Správce míst ve FileZille. |
Při prvním přihlášením se vám zobrazí podrobnosti o certifikátu který jsme vygenerovali dříve.
Někdy se stane, že si klient úplně nerozumí se serverem v otázce SSL/TLS zahájení spojení. U
WinSCP je nutné v možnostech přímo nastavit explicitní šifrování SSL/TLS jinak nebude přihlášení fungovat. Používaný port je stále 21.
Připojení v Linuxu
Jelikož je FileZilla opensource, nevidím důvod ji nepoužít i v GNU/Linuxu. Osobně vyzkoušeno v Lubuntu 12.04 s verzí 3.5.3 bez problémů.
Pro nainstalování použijeme:
sudo apt-get install filezilla
Řešení problémů
Během přihlášení hlásí FTP klient
530 Login incorrect
Řešení: otevřít konfigurační soubor
sudo nano /etc/vsftpd.conf
a zde změnit řádek
pam_service_name=vsftpd
na
pam_service_name=ftp
Uložíme (Ctrl+X a poté Y) a provedeme restart procesu:
sudo /etc/init.d/vsftpd restart
Seznam změn:
- 15-3-2015 - přidáno řešení problémů
- 9-11-2014 - délka šifry navýšena na 2048 bitů.
Zdroj:
HowtoForge
