Master
Administrator
Data inscrierii: 05/Noi/2007
Mesaje: 169
Localitate: Craiova
|
 Trimis: 11/03/2008 15:50 Titlul subiectului: FTP (File Transfer Protocol) |
|
|
[color=cyan]FTP (File Transfer Protocol), implementat în UNIX prin programele client ftp ºi prin server-ul /etc/ftpd, permite utilizatorilor sã se conecteze la distanþã ºi sã facã transfer de fiºiere. Port-urile folosite sunt 21, pentru trimiterea de comenzi, ºi 20 sau unul peste 1.024, negociat de client ºi server, pentru transferul de date. Din nefericire, versiunile mai vechi ale acestor programe au unele neajunsuri care permit a se intra neautorizat în sistem. Aceste neajunsuri au fost eliminate de versiunile noi ale lui Berkeley. Dacã ftp-ul dumneavoastrã a fost obþinut inainte de decembrie 1988, trebuie sã cãutaþi o nouã versiune.
Fie cã este vorba de un transfer de fiºiere sau de listarea conþinutului unui director, datele se transmit pe un canal de date. Cele mai obiºnuite implementãri creeazã o nouã legãturã pentru fiecare fiºier. Clientul ascultã un numãr de port aleator ºi informeazã server-ul sistem despre aceasta, prin comanda PORT. La înapoiere, server-ul face un apel la port-ul dat.
în general, transferurile de fiºiere sunt fãcute în mod ASCII. cândva însã de transmiterea sau recepþionarea unor fiºiere care au alte caractere decât cele ASCII tipãribile, ambele pãrti trebuie sã introducã modul imagine (altfel știut ca binar) prin comanda TYPE I. La pornire, programul clientului întreabã server-ul dacã este un sistem UNIX; dacã da, este generatã automat comanda TYPE I.
La apelul serviciului ftp, utilizatorul trebuie sã furnizeze numele ºi parola. Acestea sunt memorate la maºina server în fiºierul /usr/adm/wtmp. Transmiterea în clar a acestor informaþii între calculatoare constituie un element de mare vulnerabilitate, fiind cunoscute cazuri frecvente de interceptare a lor. De aceea, pe calculatoare importante, acest serviciu trebuie dezactivat sau înlocuit cu variante care implementeazã protocoale criptografice de autentificare.
Aveþi la dispoziþie 3 variante de server-e ftp:
• Se poate folosi programul ftpd standard. Atenþie, însã, cã mai circulã unele variante cu anumite erori de securitate;
• Se poate folosi programul (foarte bun) wuftpd, realizat de Universitatea Washington, care îngăduie o mai bunã setare, în particular în ceea ce priveºte numãrul de fiºiere ce pot fi transferate simultan, comprimarea automatã a fiºierelor transmise ºi împãrtirea utilizatorilor pe categorii;
• Se poate folosi un server ce permite doar ftp anonim, cum ar fi programul creat de firma 77S, numit aftp.
Toate aceste server-e sunt startate de cãtre demonul inetd, pe baza intrârilor din fiºierul /etc/inetd.conf.
Se pot lua unele mãsuri de restricþionare a accesului la serviciul ftp standard. Fiºierul /etc/ftpusers conþine o listã a tuturor conturilor care nu pot folosi acest serviciu. Dacã, de exemplu, se blocheazã prin acest fiºier conturi ca root, uucp, news, bin, se previne, pe de o parte probabilitatea ca, o datã sparte aceste conturi, sã se facã transferuri de fiºiere importante, iar pe de altã parte se împiedicã folosirea de cãtre conturile privilegiate a serviciului ftp, ceea ce ar face sã se transfere prin reþea parolele acestora.
Una din cele mai folosite facilitãþi ftp o reprezintã conectarea "anonymous". Aceastã conectare specialã permite unui utilizator, care nu are cont într-o masinã, un acces restrâns pentru a transfera fiºiere dintr-un director specificat. Acest lucru este util, de exemplu, atunci când doriþi sã distribuiþi software sau fiºiere publice, fãrã a da fiecãrei persoane ce doreºte aceste programe un cont în maºina dumneavoastrã. De obicei, la apelul lui ftp anonim se cere furnizarea numelui, iar drept parolã, adresa de e-mail.
latã o listã cu unele dificultăți generale de securitate ale ftp anonim.
• serviciul, funcþionând fãrã restricþii, poate goli o companie de fiºierele sale importante;
• protocolul utilizeazã 2 conexiuni TCP, complicând sarcina porþilor de a trece aceste servicii prin barierele de securitate (firewall);
• demonul ftpd se executã iniþial ca "root", deoarece el proceseazã conectarea unui anumit cont, inclusiv parola; mai mult, el nu poate sã piardã identitatea sa privilegiatã dupã conectare, deoarece unele din punctele protocolului cer sã utilizeze port-ul 20, care este în categoria privilegiatã.
Pentru a seta perfect un ftp anonim, trebuie sã urmaþi urmãtorii paºi:
a. Creaþi un cont numit "ftp". Disponibilizaþi contul punând un asterisc (*) în câmpul parolã. Daþi contului un director home rarisim dedicat, ca /usr/ftp sau /usr/spool/ftp:
#mkdir ~usr/spool/ftp
Ca urmare, linia pentru contul anonim va arãta astfel:
ftp:*:400:400:Annonymous FTP:/usr/spool/ftp:/bin/false
Se observã cã s-a dat utilizatorilor serviciului ftp anonim un Shell fictiv (/bin/False), lucru care face ca, deºi aceºtia au drepturi asupra fiºierelor, sã nu poatã sã se conecteze în sistem pe acest cont. Uneori, se recomandã ca acest fiºier, false, sã fie un script care sã afiºeze un mesaj politicos la încercarea unui utilizator de a se conecta pe acest cont. Acest Shell fictiv trebuie fãcut cunoscut sistemului, prin introducerea sa, alãturi de /bin/sh ºi /bin/csh în fiºierul /etc/shells.
b) Faceþi ca directorul home sã fie în proprietatea lui "ftp" §i sã fie fãrã acces la scriere:
#chown ftp ~ftp #chmod 555 ~ftp
c) Creaþi directorul /ftp/bin în proprietatea superuser-ului, fãrã acces de scriere. Plasaþi o copie a programului /s în acest director:
#mkdir ~ftp/bin
#chown root ~ftp/bin
#chmod 555 ~ftp/bin
#cp -p /bin/ls ~ftp/bin
#chmod 111 ~ftp/bin/ls
d) Creaþi directorul ftp/etc, puneþi-l în proprietatea superuser-ului, fãrã acces la scriere. Plasaþi copiile lui /etc/passwd ºi ale fiºierului /etc/group în acest director, cu câmpurile parolã shimbate cu asterisc. Singurul cont care trebuie sa fie prezent este "ftp".
#mkdir ~ftp/etc
#chown root ~ftp/etc
#chmod 555 ~ftp/etc
#cp -p /etc/passwd /etc/group ~ftp/etc
#chmod 444 ~ftp/etc/group ~ftp/etc
e) Creaþi directorul ftp/pub, în prophetatea lui "ftp". Utilizatorul poate apoi plasa, în acest director sau în subdirectoarele sale, fiºierele care sunt accesibile prin ftp anonim:
#mkdir ~ftp/pub
#chown ftp ~ftp/pub
#chmod 777 ~ftp/pub
Trebuie sã controlaþi des conþinutul directoarelor în care este permisã scrierea. Orice fiºier suspect trebuie ºters.
Serviciul de ftp anonim a devenit un adevãrat standard în INTERNET pentru difuzare de software, documente, imagini etc. Nu existã dubii cã acest serviciu este important, fiind, dupã poºta electronicã ºi WWW, cel mai întrebuințat serviciu în INTERNET. Trebuie însã acordatã toatã atentia administrãrii lui.
Prima ºi cea mai importantã regulã este ca nici un fiºier sau director din aria lui ftp anonim sã nu fie cu acces la scriere ºi sã nu fie supravegheat de ftp, deoarece ftp anonim se executã cu acest nume. Dacã directorul ftp nu permite acces la scriere, dar este controlat de ftp, fiþi în continuare prudent: anumite server-e permit clientului de la distanþã sã shimbe permisiunile fiºierului. Existenþa comenzilor de schimbare a drepturilor de acces (permisiunilor) în server-ul anonymous este un mare neajuns. Se recomandã, pe cât posibil, sã eliminaþi întocmai posibilitãþi. [/color] |
|
[/url]