Fejn tintemm il-protezzjoni tal-VPN fit-triq lejn server FTP
VPN tkopri t-triq sa għall-gateway tiegħu, mhux is-segment warajh. Aqsam FTP sempliċi, FTPS u SFTP, imbagħad ivverifika l-kanal tad-dejta u l-identità tal-parti l-oħra.
VPN tipproteġi triq, u kull triq għandha tmiem. Meta t-tunnel jintemm f’gateway tal-kumpanija, it-trasferiment tal-fajls ikompli minn hemm taħt il-protezzjoni li jipprovdi l-protokoll tiegħu stess. Din id-distinzjoni tiddeċiedi jekk trasferiment huwiex protett mit-tarf sat-tarf jew biss sal-gateway. L-indikatur Connected ma jgħid xejn dwar ebda waħda minnhom.
Żewġ Pożizzjonijiet, Żewġ Triqat li Jifdal
Ħu laptop li jingħaqad ma’ VPN tal-kumpanija u mbagħad jiftaħ sessjoni FTP lejn server intern separat. It-tunnel jieqaf fil-gateway, u s-segment mill-gateway sa dak is-server jibqa’ barra minnu.
FTP sempliċi ma jakkwistax encryption għax il-pakketti tiegħu waslu permezz ta’ tunnel. F’dak is-segment li jifdal, il-kmandi, il-kredenzjali u l-kontenut tal-fajl jivvjaġġaw eżattament kif jiddefinixxi l-protokoll, jiġifieri fil-beraħ. Jekk dan huwiex importanti jiddependi mit-topoloġija u minn x’ieħor jgħasses is-segment, u li ssejjaħ l-indirizz privat ma twieġebx il-mistoqsija. L-istess raġunament japplika bil-maqlub meta s-server ikun f’netwerk tal-cloud li l-gateway jasal għalih b’qabża oħra.
Qiegħed il-punt tat-tmiem tal-VPN u s-servizz FTP fuq magna waħda, u ma jkun hemm l-ebda segment ieħor li jinkwieta dwaru. Dik hija pożizzjoni oħra, mhux prova li l-proċessi, il-fajls u l-kredenzjali tal-host huma sikuri.
FTP Sempliċi, FTPS u SFTP Huma Tliet Deċiżjonijiet
FTP sempliċi ma jikkripta xejn, lanqas il-password. FTPS iżid TLS ma’ FTP, għalhekk il-kanal tal-kontroll u, meta jiġi nnegozjat, il-kanal tad-dejta huma protetti. SFTP huwa protokoll differenti li jinġarr ġewwa SSH, u mhuwiex ortografija oħra ta’ FTPS.
Is-server irid jappoġġja dik l-għażla, għax klijent ma jistax joħloq semmiegħ li ma jeżistix. L-għażla ta’ SFTP ma tibdilx servizz biss FTP f’punt tat-tmiem SSH, u li tbiddel isem bookmark jew port ma tipprova xejn dwar dak li ġie nnegozjat. Ikkonferma l-protokoll kemm min-naħa tas-server kif ukoll min-naħa tal-klijent. Serratura f’manager tal-fajls hija dikjarazzjoni dwar is-sessjoni, mhux dwar is-semmiegħ warajha.
| Protocol | Usual port | What it protects | Identity check |
|---|---|---|---|
| FTP | 21 | Nothing on the wire | None beyond the login |
| FTPS | 21 or 990 | Control channel, data channel when required | TLS server certificate |
| SFTP | 22 | The whole session inside SSH | SSH host key |
Aqra l-aħħar kolonna meta t-trasferiment ikun importanti, għax hemmhekk jidher bidla fl-identità li ma tkunx mistennija.
Il-Konnessjoni tad-Dejta Hija Tieni Konnessjoni
FTP jiftaħ konnessjoni tal-kontroll u mbagħad konnessjonijiet tad-dejta separati għal-listi u t-trasferimenti. Login protett ma jgħid xejn dwar dawk il-konnessjonijiet aktar tard, sakemm id-deployment ma jitlobx protezzjoni għalihom ukoll.
B’FTPS, il-klijent jitlob kanal tad-dejta protett permezz ta’ kmand speċifiku, u politika tas-server tista’ tirrifjuta l-alternattiva fil-beraħ. Ivverifika li l-politika teħtieġ dan minflok ma tassumi li l-valur awtomatiku tal-klijent huwa biżżejjed. Il-modalità passiva żżid it-tieni komplikazzjoni, għax is-server iħabbar indirizz u port għall-konnessjoni tad-dejta. Firewall jew apparat NAT li jerġa’ jikteb jew jimblokka dak l-avviż jipproduċi sessjoni li tawtentika u mbagħad tiddendel fl-ewwel lista.
curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'It-tieni kmand juri x’jippreżenta s-server fuq il-kanal tal-kontroll qabel ma jintmess ebda fajl. It-tielet juri jekk inħolqotx konnessjoni tad-dejta, li hija d-differenza bejn falliment tal-awtentikazzjoni u falliment tal-modalità passiva.
Il-Verifiki tal-Identità Jgħaddu mit-Tunnel
Klijent FTPS jivvalida l-identità ta’ server TLS, u klijent SFTP jivvalida ċavetta tal-host SSH. Iż-żewġ verifiki jappartjenu għall-protokoll tat-trasferiment tal-fajls, u lanqas waħda ma ssir mill-VPN.
Dik is-separazzjoni hija importanti meta xi ħaġa fin-nofs trid tispezzjona s-sessjoni. Li titfi TLS sabiex apparat tan-netwerk ikun jista’ jaqra l-kmandi jbiddel il-mudell tal-protezzjoni minflok ma jtemmu, u l-istess jgħodd għall-aċċettazzjoni ta’ ċavetta tal-host mhux spjegata għax it-tunnel tela’. Żomm il-konfigurazzjoni tal-fiduċja maħsuba u ġib il-materjal korrett mill-operatur. Tunnel li jawtentika ma jgħid xejn dwar is-server fit-tarf imbiegħed tiegħu.
Materjal ta’ ċavetta privata u ċertifikat għal dawn il-protokolli huwa għal darba oħra t-tielet sigriet, separat mill-kredenzjali tal-VPN.
Innota Dak li Verament Ivverifikajt
Agħżel fajl bla ħsara li int awtorizzat tmexxih, u nnota erba’ fatti dwar l-attentat: liema protokoll mexa, liema identità tal-parti l-oħra ġiet ivverifikata, liema triq kienet maħsuba, u jekk it-trasferiment temmx.
lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]Lista ta’ direttorju, login fit-tunnel u trasferiment mitmum huma tliet osservazzjonijiet separati, u l-aħħar waħda biss tgħid li t-triq taħdem għall-fajls. Jekk id-disinn jiddependi biss fuq il-VPN għall-kunfidenzjalità fil-qabża li jifdal, ikteb dan bħala d-deċiżjoni li hi. Nota ta’ aċċettazzjoni li ssemmi l-qabża u l-assunzjoni tal-fiduċja tagħha tiswa aktar minn screenshot ta’ klijent konness.