Hvar vernd VPN endar á leiðinni að FTP-þjóni

VPN verndar leið, og leið hefur enda. Þegar göngin enda við gátt fyrirtækis heldur flutningur skráa áfram þaðan undir þeirri vernd sem eigin samskiptareglur þess bjóða. Sá munur ræður því hvort flutningur er varinn frá enda til enda eða aðeins að gáttinni. Vísirinn Connected segir ekkert um hvort tveggja.

Tvær staðsetningar, tvær eftirstandandi leiðir

Taktu fartölvu sem tengist VPN fyrirtækis og opnar síðan FTP lotu við aðskilinn innri þjón. Göngin stöðvast við gáttina, og kaflinn frá gáttinni að þeim þjóni liggur utan hennar.

Venjulegt FTP fær enga dulritun af því að pakkarnir komu í gegnum göng. Á þeim eftirstandandi kafla ferðast skipanirnar, skírteinin og innihald skránna nákvæmlega eins og samskiptareglurnar skilgreina, það er ódulritað. Hvort það skiptir máli fer eftir netlögun og eftir því hvað annað gætir kaflans, og að kalla vistfangið einkavistfang svarar ekki spurningunni. Sama röksemd gildir öfugt þegar þjónninn er í skýjaneti sem gáttin nær til með einu stökki enn.

Settu endapunkt VPN og FTP-þjónustuna á eina vél og þá er enginn næsti kafli til að hafa áhyggjur af. Það er önnur staðsetning, ekki sönnun þess að ferli, skrár og skírteini hýsilsins séu örugg.

Venjulegt FTP, FTPS og SFTP eru þrjár ákvarðanir

Venjulegt FTP dulritar ekkert, ekki einu sinni lykilorðið. FTPS bætir TLS við FTP, svo stjórnrásin og, þegar samið er um það, gagnarásin eru varðar. SFTP eru aðrar samskiptareglur sem fluttar eru innan SSH, og það er ekki önnur stafsetning á FTPS.

Þjónninn verður að styðja þetta val, því biðlari getur ekki búið til hlustanda sem er ekki til. Að velja SFTP breytir ekki þjónustu sem aðeins notar FTP í SSH-endapunkt, og að endurnefna bókamerki eða skipta um gátt sannar ekkert um það sem samið var um. Staðfestu samskiptareglurnar bæði frá hlið þjónsins og biðlarans. Lás í skráastjóra er fullyrðing um lotuna, ekki um hlustandann bak við hana.

Lestu síðasta dálkinn þegar flutningurinn skiptir máli, því þar kemur óvænt auðkennisbreyting í ljós.

Gagntengingin er önnur tenging

FTP opnar stjórntengingu og síðan aðskildar gagntengingar fyrir listana og flutninga. Vernduð innskráning segir ekkert um þessar síðari tengingar, nema uppsetningin krefjist verndar fyrir þær líka.

Með FTPS biðlarinn um varða gagnarás með tiltekinni skipun, og stefna þjónsins getur hafnað ódulritaða valinu. Staðfestu að stefnan krefjist þess í stað þess að gera ráð fyrir að sjálfgefið gildi biðlarans nægi. Óvirkur hamur bætir við annarri flækju, því þjónninn tilkynnir vistfang og gátt fyrir gagntenginguna. Eldveggur eða NAT-tæki sem endurskrifar eða lokar á þá tilkynningu framleiðir lotu sem auðkennist og stendur síðan á fyrsta listanum.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Önnur skipunin sýnir hvað þjónninn kynnir á stjórnrásinni áður en nokkurri skrá er snert. Sú þriðja sýnir hvort gagntenging var nokkurn tíma komin á, sem er munurinn á auðkenningarmistökum og mistökum í óvirkum ham.

Auðkennisprófanir lifa göngin af

FTPS-biðlari staðfestir auðkenni TLS-þjóns, og SFTP-biðlari staðfestir SSH-hýsilsskilríki. Báðar prófanirnar tilheyra samskiptareglum skráaflutnings, og hvorugt er gert af VPN-inu.

Sú aðgreining skiptir máli þegar eitthvað í miðjunni vill skoða lotuna. Að slökkva á TLS svo netbúnaður geti lesið skipanirnar breytir verndarlíkaninu í stað þess að klára það, og það sama gildir um að samþykkja óútskýrt hýsilsskilríki af því að göngin komust upp. Haltu fyrirhugaðri trauststillingu og fáðu rétt efni hjá rekstraraðilanum. Göng sem auðkenna segja ekkert um þjóninn við fjarlæga enda sinn.

Einkalykls- og skírteinisefni fyrir þessar samskiptareglur er enn þriðja leyndarmálið, aðskilið frá VPN-skírteininu.

Skrifaðu niður hvað þú staðfestir í raun

Veldu meinlaust skrá sem þú hefur leyfi til að færa, og skráðu fjögur staðreyndir um tilraunina: hvaða samskiptareglur voru í gangi, hvaða auðkenni gagnaðilans var prófað, hvaða leið var ætluð, og hvort flutningurinn kláraðist.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Skráalisti, innskráning í göngin og kláraður flutningur eru þrjár aðskildar athuganir, og aðeins sú síðasta segir að leiðin virki fyrir skrár. Ef hönnunin treystir eingöngu á VPN fyrir trúnað á eftirstandandi stökki, skrifaðu það sem þá ákvörðun sem hún er. Samþykkisathugasemd sem nefnir stökkið og traustforsendu þess er meira virði en skjámynd af tengdum biðlara.