Kur baigiasi VPN apsauga kelyje į FTP serverį

VPN saugo kelią, o kiekvienas kelias turi pabaigą. Kai tunelis baigiasi įmonės tinklų sietuve, failų perdavimas tęsiasi nuo ten pagal apsaugą, kurią suteikia jo paties protokolas. Šis skirtumas nulemia, ar perdavimas apsaugotas nuo pradžios iki pabaigos, ar tik iki tinklų sietuvo. Indikatorius Connected apie nei vieną iš jų nieko nesako.

Dvi vietos, du likę keliai

Paimkite nešiojamąjį kompiuterį, kuris prisijungia prie įmonės VPN ir tada atidaro FTP sesiją atskirame vidiniame serveryje. Tunelis sustoja prie tinklų sietuvo, o atkarpa nuo sietuvo iki to serverio lieka už jo.

Paprastas FTP neįgyja šifravimo vien todėl, kad jo paketai atkeliavo per tunelį. Toje likusioje atkarpoje komandos, prisijungimo duomenys ir failo turinys keliauja lygiai taip, kaip apibrėžia protokolas, tai yra atvirai. Ar tai svarbu, priklauso nuo topologijos ir nuo to, kas dar saugo atkarpą, o adreso pavadinimas privačiu į klausimą neatsako. Ta pati logika galioja ir atvirkščiai, kai serveris yra debesų tinkle, kurį tinklų sietuvas pasiekia dar vienu šuoliu.

Įdėkite VPN galinį tašką ir FTP paslaugą į vieną mašiną ir nebeliks tolesnės atkarpos, dėl kurios reikėtų jaudintis. Tai kita vieta, o ne įrodymas, kad pagrindinės mašinos procesai, failai ir prisijungimo duomenys yra saugūs.

Paprastas FTP, FTPS ir SFTP yra trys sprendimai

Paprastas FTP nieko nešifruoja, net slaptažodžio. FTPS prideda TLS prie FTP, todėl valdymo kanalas ir, kai dėl to susitariama, duomenų kanalas yra apsaugoti. SFTP yra kitas protokolas, pernešamas SSH viduje, ir tai nėra kitokia FTPS rašyba.

Serveris turi palaikyti šį pasirinkimą, nes klientas negali išrasti klausytojo, kurio nėra. Pasirinkus SFTP, paslauga, veikianti tik su FTP, netampa SSH galiniu tašku, o žymės pervadinimas ar prievado pakeitimas nieko neįrodo apie tai, dėl ko buvo susitarta. Patvirtinkite protokolą tiek iš serverio, tiek iš kliento pusės. Spynelė failų tvarkyklėje yra teiginys apie sesiją, o ne apie klausytoją už jos.

Skaitykite paskutinį stulpelį, kai perdavimas svarbus, nes būtent ten pasirodo netikėtas tapatybės pasikeitimas.

Duomenų ryšys yra antras ryšys

FTP atidaro valdymo ryšį ir tada atskirus duomenų ryšius sąrašams ir perdavimams. Apsaugotas prisijungimas nieko nesako apie tuos vėlesnius ryšius, nebent diegimas reikalauja apsaugos ir jiems.

Naudojant FTPS, klientas konkrečia komanda prašo apsaugoto duomenų kanalo, o serverio politika gali atmesti atvirą alternatyvą. Patikrinkite, ar politika to reikalauja, o ne manykite, kad kliento numatytasis nustatymas yra pakankamas. Pasyvusis režimas prideda antrą keblumą, nes serveris paskelbia adresą ir prievadą duomenų ryšiui. Užkarda ar NAT įrenginys, kuris perrašo ar blokuoja tą skelbimą, sukuria sesiją, kuri autentifikuojasi ir tada pakimba ties pirmuoju sąrašu.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Antroji komanda parodo, ką serveris pateikia valdymo kanale prieš paliečiant bet kurį failą. Trečioji parodo, ar duomenų ryšys apskritai buvo užmegztas, ir tai yra skirtumas tarp autentifikavimo klaidos ir pasyviojo režimo klaidos.

Tapatybės patikros išgyvena tunelį

FTPS klientas patvirtina TLS serverio tapatybę, o SFTP klientas patvirtina SSH pagrindinės mašinos raktą. Abi patikros priklauso failų perdavimo protokolui, ir nė vienos neatlieka VPN.

Šis atskyrimas svarbus, kai kažkas viduryje nori ištirti sesiją. Išjungus TLS, kad tinklo įrenginys galėtų skaityti komandas, apsaugos modelis pakeičiamas, o ne užbaigiamas, ir tas pats galioja priimant nepaaiškintą pagrindinės mašinos raktą todėl, kad tunelis pakilo. Išlaikykite numatytą pasitikėjimo konfigūraciją ir gaukite tinkamą medžiagą iš operatoriaus. Tunelis, kuris autentifikuojasi, nieko nesako apie serverį jo tolimajame gale.

Privataus rakto ir sertifikato medžiaga šiems protokolams yra dar viena, trečia paslaptis, atskira nuo VPN prisijungimo duomenų.

Užsirašykite, ką iš tikrųjų patikrinote

Pasirinkite nekenksmingą failą, kurį turite teisę perkelti, ir užsirašykite keturis faktus apie bandymą: kuris protokolas veikė, kuri kitos pusės tapatybė buvo patikrinta, kuris kelias buvo numatytas ir ar perdavimas baigtas.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Katalogo sąrašas, prisijungimas prie tunelio ir baigtas perdavimas yra trys atskiri stebėjimai, ir tik paskutinis sako, kad kelias veikia failams. Jei dizainas likusio šuolio konfidencialumui remiasi tik VPN, užrašykite tai kaip sprendimą, kuris tai ir yra. Priėmimo pastaba, įvardijanti šuolį ir jo pasitikėjimo prielaidą, verta daugiau nei prisijungusio kliento ekrano kopija.