Hol végződik a VPN védelme az FTP-kiszolgáló felé vezető úton

A VPN egy utat véd, és minden útnak vége van. Amikor az alagút egy vállalati átjárónál végződik, a fájlátvitel onnan a saját protokollja által nyújtott védelem alatt folytatódik. Ez a különbség dönti el, hogy az átvitel végponttól végpontig védett-e, vagy csak az átjáróig. A Connected jelző egyikről sem mond semmit.

Két elhelyezés, két hátralévő út

Vegyünk egy laptopot, amely csatlakozik a vállalati VPN-hez, majd FTP-munkamenetet nyit egy külön belső kiszolgáló felé. Az alagút az átjárónál megáll, és az átjárótól ehhez a kiszolgálóhoz vezető szakasz azon kívül esik.

A sima FTP nem kap titkosítást attól, hogy a csomagjai alagúton keresztül érkeztek. Azon a hátralévő szakaszon a parancsok, a hitelesítő adatok és a fájlok tartalma pontosan úgy haladnak, ahogy a protokoll meghatározza, azaz nyíltan. Hogy ez számít-e, a topológiától és attól függ, mi más védi a szakaszt, és a cím magánként emlegetése nem válaszol a kérdésre. Ugyanez az érvelés fordítva is érvényes, amikor a kiszolgáló olyan felhőhálózatban van, amelyet az átjáró egy további ugrással ér el.

Tegye a VPN-végpontot és az FTP-szolgáltatást egy gépre, és nincs több aggódnivaló szakasz. Ez más elhelyezés, nem pedig annak bizonyítéka, hogy a gazdagép folyamatai, fájljai és hitelesítő adatai biztonságban vannak.

A sima FTP, az FTPS és az SFTP három döntés

A sima FTP semmit nem titkosít, a jelszót sem. Az FTPS TLS-t ad az FTP-hez, így a vezérlőcsatorna és megegyezés esetén az adatcsatorna is védett. Az SFTP más protokoll, amelyet SSH-n belül szállítanak, és nem az FTPS másik írásmódja.

A kiszolgálónak támogatnia kell ezt a választást, mert az ügyfél nem tud olyan hallgatót varázsolni, amely nincs ott. Az SFTP választása nem alakítja át a csak FTP-t kínáló szolgáltatást SSH-végponttá, és a könyvjelző átnevezése vagy a port megváltoztatása semmit nem bizonyít arról, amiben megállapodtak. Erősítse meg a protokollt a kiszolgáló oldaláról is, nem csak az ügyféléből. A fájlkezelőben látható lakat a munkamenetről szóló állítás, nem a mögötte lévő hallgatóról.

Olvassa el az utolsó oszlopot, amikor az átvitel számít, mert ott jelenik meg egy váratlan személyazonosság-változás.

Az adatkapcsolat egy második kapcsolat

Az FTP vezérlőkapcsolatot nyit, majd külön adatkapcsolatokat a listákhoz és az átvitelekhez. A védett bejelentkezés semmit nem mond ezekről a későbbi kapcsolatokról, hacsak a telepítés nem követeli meg a védelmüket is.

Az FTPS-nél az ügyfél egy adott paranccsal védett adatcsatornát kér, és a kiszolgáló szabályzata elutasíthatja a nyílt alternatívát. Ellenőrizze, hogy a szabályzat megköveteli-e, ahelyett hogy feltételezné, az ügyfél alapértéke elég. A passzív mód második bonyodalmat ad, mert a kiszolgáló címet és portot hirdet az adatkapcsolathoz. Az a tűzfal vagy NAT-eszköz, amely átírja vagy blokkolja ezt a hirdetést, olyan munkamenetet hoz létre, amely hitelesít, majd az első listánál elakad.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

A második parancs megmutatja, mit mutat be a kiszolgáló a vezérlőcsatornán, mielőtt bármely fájlhoz hozzányúlnának. A harmadik megmutatja, létrejött-e egyáltalán adatkapcsolat, ami a hitelesítési hiba és a passzív módú hiba közötti különbség.

A személyazonosság-ellenőrzések túlélik az alagutat

Egy FTPS-ügyfél ellenőrzi egy TLS-kiszolgáló személyazonosságát, és egy SFTP-ügyfél ellenőrzi az SSH-gazdagép kulcsát. Mindkét ellenőrzés a fájlátviteli protokollhoz tartozik, és egyiket sem a VPN végzi.

Ez a szétválasztás akkor számít, amikor valami a közepén meg akarja vizsgálni a munkamenetet. A TLS kikapcsolása, hogy egy hálózati eszköz olvashassa a parancsokat, megváltoztatja a védelmi modellt ahelyett, hogy kiegészítené, és ugyanez igaz egy megmagyarázatlan gazdagépkulcs elfogadására azért, mert az alagút felállt. Tartsa meg a szándékolt bizalmi konfigurációt, és szerezze be a helyes anyagot az üzemeltetőtől. Az alagút, amely hitelesít, semmit nem mond a távoli végén lévő kiszolgálóról.

Ezekhez a protokollokhoz a privátkulcs- és tanúsítvány-anyag egy újabb, harmadik titok, külön a VPN hitelesítő adataitól.

Jegyezze fel, mit ellenőrzött valójában

Válasszon egy ártalmatlan fájlt, amelyet jogosult áthelyezni, és jegyezze fel négy tényt a kísérletről: melyik protokoll futott, melyik másik fél személyazonosságát ellenőrizték, melyik utat szánták, és befejeződött-e az átvitel.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

A könyvtárlista, az alagútba való bejelentkezés és a befejezett átvitel három külön megfigyelés, és csak az utolsó mondja, hogy az út működik a fájlokhoz. Ha a tervezés a hátralévő ugrás bizalmasságában csak a VPN-re támaszkodik, írja le úgy, ahogy az a döntés áll. Egy átvételi feljegyzés, amely megnevezi az ugrást és annak bizalmi feltevését, többet ér egy csatlakozott ügyfél képernyőképénél.