Non amaitzen den VPNaren babesa FTP zerbitzari baterako bidean

VPN batek bide bat babesten du, eta bide orok du amaiera. Tunela enpresako atebidean amaitzen denean, fitxategi-transferentziak hortik aurrera jarraitzen du bere protokoloak eskaintzen duen babesarekin. Bereizketa horrek erabakitzen du transferentzia hasieratik amaierara babestuta dagoen edo atebidera arte bakarrik. Connected adierazleak ez du ezer esaten bietako bati buruz ere.

Bi kokapen, bi bide geratzen

Hartu enpresako VPNarekin konektatzen den eta gero barneko zerbitzari bereizi batera FTP saio bat irekitzen duen ordenagailu eramangarri bat. Tunela atebidean gelditzen da, eta atebidetik zerbitzari horretarainoko zatia haren kanpoan geratzen da.

FTP soilak ez du zifratzerik lortzen bere paketeak tunel batetik iritsi direlako. Gainerako zati horretan, komandoek, kredentzialek eta fitxategien edukiak protokoloak definitzen duen bezala bidaiatzen dute, hau da, argi. Hori garrantzitsua den ala ez topologiaren eta zatia beste zerbaitek babesten duenaren araberakoa da, eta helbideari pribatu deitzeak ez dio galderari erantzuten. Arrazoibide bera alderantziz balio du zerbitzaria atebideak beste jauzi baten bidez iristen den hodei-sare batean dagoenean.

Jarri VPNaren amaierako puntua eta FTP zerbitzua makina bakarrean eta ez dago kezkatzeko ondorengo zatirik. Beste kokapen bat da hori, ez ostalariaren prozesuak, fitxategiak eta kredentzialak seguru daudelako froga.

FTP soila, FTPS eta SFTP hiru erabaki dira

FTP soilak ez du ezer zifratzen, ezta pasahitza ere. FTPSek TLS gehitzen dio FTPri, beraz kontrol-kanala eta, negoziatzen denean, datu-kanala babestuta daude. SFTP SSHren barruan garraiatzen den beste protokolo bat da, eta ez da FTPS idazteko beste modu bat.

Zerbitzariak aukera hori onartu behar du, bezeroak ezin baitu han ez dagoen entzule bat asmatu. SFTP aukeratzeak ez du FTP soilik duen zerbitzu bat SSH amaierako puntu bihurtzen, eta laster-marka bat berrizendatzeak edo portua aldatzeak ez du ezer frogatzen negoziatutakoari buruz. Egiaztatu protokoloa zerbitzariaren aldetik zein bezeroaren aldetik. Fitxategi-kudeatzaile bateko giltzarrapoak saioari buruzko baieztapena da, ez haren atzean dagoen entzuleari buruzkoa.

Irakurri azken zutabea transferentzia garrantzitsua denean, han agertzen baita ustekabeko identitate-aldaketa.

Datu-konexioa bigarren konexioa da

FTPk kontrol-konexio bat irekitzen du eta gero datu-konexio bereiziak zerrendetarako eta transferentzietarako. Saio-hasiera babestuak ez du ezer esaten geroagoko konexio horiei buruz, inplementazioak haientzat ere babesa eskatzen ez badu behintzat.

FTPSrekin, bezeroak datu-kanal babestua eskatzen du komando zehatz baten bidez, eta zerbitzariaren politikak alternatiba argia uka dezake. Egiaztatu politikak hori eskatzen duela, bezeroaren balio lehenetsia nahikoa dela suposatu beharrean. Modu pasiboak bigarren korapilo bat gehitzen du, zerbitzariak datu-konexiorako helbide eta portu bat iragartzen baitu. Iragarki hori berridazten edo blokeatzen duen suebaki edo NAT gailu batek autentifikatzen den eta gero lehen zerrendan zintzilik geratzen den saio bat sortzen du.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Bigarren komandoak erakusten du zer aurkezten duen zerbitzariak kontrol-kanalean fitxategiren bat ukitu aurretik. Hirugarrenak erakusten du datu-konexio bat inoiz ezarri zen, hau da, autentifikazio-hutsegitearen eta modu pasiboaren hutsegitearen arteko aldea.

Identitate-egiaztapenek tunela bizirik irauten dute

FTPS bezero batek TLS zerbitzari baten identitatea baliozkotzen du, eta SFTP bezero batek SSH ostalari-gakoa baliozkotzen du. Bi egiaztapenak fitxategi-transferentzia protokoloarenak dira, eta bat ere ez du VPNak egiten.

Bereizketa hori garrantzitsua da erdian zerbait saioa ikuskatu nahi duenean. TLS desaktibatzeak, sare-gailu batek komandoak irakurri ahal izan ditzan, babes-eredua aldatzen du osatu beharrean, eta gauza bera gertatzen da azalpenik gabeko ostalari-gako bat onartzean tunela altxatu delako. Mantendu aurreikusitako konfiantza-konfigurazioa eta lortu material egokia operadorearengandik. Autentifikatzen den tunel batek ez du ezer esaten bere mutur urruneko zerbitzariari buruz.

Protokolo hauetarako gako pribatu eta ziurtagiri materiala hirugarren sekretu bat da berriz, VPNaren kredentzialetik bereizia.

Idatzi benetan egiaztatu duzuna

Aukeratu mugitzeko baimena duzun fitxategi kaltegabe bat, eta idatzi saiakerari buruzko lau datu: zein protokolo exekutatu zen, zein beste muturreko identitate egiaztatu zen, zein bide zen asmoa, eta transferentzia amaitu zen.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Direktorio-zerrenda bat, tunelera saio-hasiera bat eta amaitutako transferentzia bat hiru behaketa bereizi dira, eta azkenak soilik dio bideak fitxategietarako funtzionatzen duela. Diseinuak gainerako jauzian konfidentzialtasunerako VPNan soilik fidatzen bada, idatzi hori den erabaki gisa. Jauzia eta haren konfiantza-suposizioa aipatzen dituen onarpen-ohar bat konektatutako bezero baten pantaila-argazkiak baino gehiago balio du.