On acaba la protecció de la VPN camí d’un servidor FTP

Una VPN protegeix un camí, i un camí té un final. Quan el túnel acaba en una passarel·la corporativa, la transferència de fitxers continua des d’allà amb la protecció que ofereix el seu propi protocol. Aquesta distinció decideix si una transferència està protegida d’extrem a extrem o només fins a la passarel·la. L’indicador Connected no diu res ni de l’una ni de l’altra.

Dues ubicacions, dos camins restants

Agafeu un portàtil que s’uneix a la VPN corporativa i després obre una sessió FTP cap a un servidor intern separat. El túnel s’atura a la passarel·la, i el tram des de la passarel·la fins a aquell servidor queda fora.

L’FTP simple no adquireix xifratge pel fet que els seus paquets hagin arribat per un túnel. En aquell tram restant, les ordres, les credencials i el contingut dels fitxers viatgen exactament com defineix el protocol, és a dir, en clar. Si això importa depèn de la topologia i de què més protegeix aquell tram, i anomenar privada l’adreça no respon la pregunta. El mateix raonament val a l’inrevés quan el servidor viu en una xarxa de núvol a la qual la passarel·la arriba per un altre salt.

Poseu el punt final de la VPN i el servei FTP en una sola màquina i no hi ha cap tram posterior que preocupi. Aquesta és una ubicació diferent, no una prova que els processos, els fitxers i les credencials de l’amfitrió siguin segurs.

L’FTP simple, l’FTPS i l’SFTP són tres decisions

L’FTP simple no xifra res, ni tan sols la contrasenya. L’FTPS afegeix TLS a l’FTP, de manera que el canal de control i, quan es negocia, el canal de dades queden protegits. L’SFTP és un protocol diferent transportat dins d’SSH, i no és una altra manera d’escriure FTPS.

El servidor ha de donar suport a aquesta tria, perquè un client no pot inventar un oïdor que no hi és. Triar SFTP no converteix un servei només FTP en un punt final SSH, i reanomenar un marcador o canviar un port no demostra res sobre què s’ha negociat. Confirmeu el protocol tant des del costat del servidor com des del del client. El cadenat d’un gestor de fitxers és una afirmació sobre la sessió, no sobre l’oïdor que hi ha darrere.

Llegiu l’última columna quan la transferència importi, perquè és on apareix un canvi d’identitat inesperat.

La connexió de dades és una segona connexió

L’FTP obre una connexió de control i després connexions de dades separades per als llistats i les transferències. Un inici de sessió protegit no diu res sobre aquestes connexions posteriors, tret que el desplegament exigeixi protecció també per a elles.

Amb FTPS, el client demana un canal de dades protegit mitjançant una ordre concreta, i una política del servidor pot rebutjar l’alternativa en clar. Verifiqueu que la política ho exigeixi en lloc de suposar que el valor per defecte del client n’hi ha prou. El mode passiu afegeix una segona complicació, perquè el servidor anuncia una adreça i un port per a la connexió de dades. Un tallafoc o un dispositiu NAT que reescrigui o bloquegi aquest anunci produeix una sessió que s’autentica i després es penja al primer llistat.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

La segona ordre mostra què presenta el servidor al canal de control abans de tocar cap fitxer. La tercera mostra si mai s’ha establert una connexió de dades, que és la diferència entre una fallada d’autenticació i una fallada del mode passiu.

Les comprovacions d’identitat sobreviuen al túnel

Un client FTPS valida la identitat d’un servidor TLS, i un client SFTP valida una clau d’amfitrió SSH. Totes dues comprovacions pertanyen al protocol de transferència de fitxers, i cap de les dues la fa la VPN.

Aquesta separació importa quan alguna cosa al mig vol inspeccionar la sessió. Desactivar TLS perquè un dispositiu de xarxa pugui llegir les ordres canvia el model de protecció en lloc de completar-lo, i el mateix val per acceptar una clau d’amfitrió sense explicació perquè el túnel ha pujat. Manteniu la configuració de confiança prevista i obteniu el material correcte de l’operador. Un túnel que s’autentica no diu res sobre el servidor del seu extrem llunyà.

El material de clau privada i certificat per a aquests protocols és un tercer secret més, separat de la credencial de la VPN.

Anoteu què heu verificat realment

Trieu un fitxer inofensiu que tingueu autorització per moure i anoteu quatre fets sobre l’intent: quin protocol s’ha executat, quina identitat de l’altre extrem s’ha comprovat, quin camí es pretenia i si la transferència ha acabat.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Un llistat de directori, un inici de sessió al túnel i una transferència acabada són tres observacions separades, i només l’última diu que el camí funciona per als fitxers. Si el disseny es refia només de la VPN per a la confidencialitat en el salt restant, escriviu-ho com la decisió que és. Una nota d’acceptació que anomeni el salt i la seva suposició de confiança val més que una captura de pantalla d’un client connectat.