Re: Bezpieczny serwer FTP

W artykule <9994eeda-e44a-4f2b-a150-f58728c314a0@l42g2000hsc.googlegroups.com> 
Nikow napisał(a):

> Dziękuje za odpowiedź. Widze że z bezpiecznymi FTP to trudna sprawa.

Bo nie ma czegoś takiego jak "bezpieczny serwer". Na jego bezpieczeństwo
składa się tak wiele czynników, że sam kod aplikacji stanowi wg moich
oszacowań jakieś 30-40%.
Do tego dochodzą takie czynniki, jak: włączone moduły/funkcje, 
konfiguracja sieci, systemy zabezpieczające przed atakami (nie tylko
w kontekście IDS, ale również atakami słownikowymi czy bruteforce
na konta), wiedza administratora oraz sposób konfiguracji przez niego
aplikacji.

Ja Ci nie napiszę co jest najlepsze, bo korzystam tylko z tego 
"najgorszego" i najbardziej dziurawego (wg Ciebie) serwera ftp.
To, że w ciągu 4 lat pojawiło się 6 exploitów (w tym 2 remote)
jeszcze o niczym nie znaczy. A te 2 zdalne:
- jeden (2007-08) musi mieć włączony mod_tls (domyślnie wyłączony)
- drugi (2006-11):
a) musi mieć zapisywalny katalog (czyli konta anonymous najczęściej
odpadają, bo są RO - sprowadza się to do złamania konta usera),
b) musi mieć włączone w konfiguracji wyświetlanie pliku DisplayChdir,
c) atakujący musi znać nazwę tego pliku ustaloną przez admina.

Dlatego możesz sam określić na tej podstawie w jakim stopniu jest to
(nie)bezpieczne.


Skoro trzymasz się milw0rma, to vsftpd: 1 zdalny exploit z 2008 roku.
Dotyczy 100% serwerów i robi im DoSa.
Czy jest to bardziej bezpieczne niż w/w exploity proftpd? Moim zdaniem
nie, ale każdy może mieć swoją ocenę sytuacji.

O pozostałych nie słyszałem aby wiele osób używało ich, dlatego ich 
nie sprawdzałem (nawet nie wiem czy jest gdzieś coś takiego jak top10
dla popularności serwerów FTP).

>> Dobrze by było gdyby serwer można było przełączyć w tryb szyfrowany
>> (dla użytkowników z kontami) i nie szyfrowany (dla użytkowników
>> anonymous), oraz by wprowadzenie do bazy użytkowników serwera FTP nie
>> było równe z wprowadzeniem do bazy użytkowników systemu,

Ad1. możesz w proftpd włączyć nawet szyfrowanie per user.
Masz nawet gotowy przykład (tak jak napisałeś wymagania) w howto:
http://www.castaglia.org/proftpd/doc/contrib/ProFTPD-mini-HOWTO-TLS.html

Ad2: ldap, sql, własne pliki passwd (nie koniecznie te z /etc/passwd) 
umieszczone w dowolnym katalogu (AuthUserFile). Oczywiście ponadto
autoryzacja w oparciu o PAM.
Jednym słowem: do koloru, do wyboru.

>> ponieważ na
>> moim serwerze stoi jeszcze SSH z SFTP (dla mnie i drugiego użytkownika
>> systemu). Respektowanie praw dostępu folderu też by się przydało,
>> ponieważ dało by mi to dużą wygodnę, ponieważ mógłbym zrobić katalog
>> na uploadowane przez użytkowników pliki i wystawiane przezemnie.

Możesz przez proftpd ustawiać dowolne uprawnienia: właściciel, grupa, 
prawa (nawet per katalog). Dla przykładu w katalogu public_html użytkownika
tworzysz pliki z chmod 660 dla plików i 770 dla katalogów, a w pozostałych
katalogach ustawiasz chmod 600/700.

O pozostałych serwerach ftp nie piszę (co jeszcze raz podkreślam), bo
nie znam ich i nie wiem czy mają takie możliwości.

Jacek