Kde sa končí ochrana VPN na ceste k serveru FTP

VPN chráni cestu a každá cesta má koniec. Keď sa tunel skončí na podnikovej bráne, prenos súborov odtiaľ pokračuje pod ochranou, ktorú poskytuje jeho vlastný protokol. Tento rozdiel rozhoduje, či je prenos chránený od začiatku do konca alebo len po bránu. Indikátor Connected nehovorí nič ani o jednom z nich.

Dve umiestnenia, dve zostávajúce cesty

Vezmite notebook, ktorý sa pripojí k podnikovej VPN a potom otvorí reláciu FTP k samostatnému internému serveru. Tunel sa zastaví pri bráne a úsek od brány k tomuto serveru zostáva mimo neho.

Obyčajné FTP nezíska šifrovanie len preto, že jeho pakety dorazili tunelom. Na tomto zostávajúcom úseku putujú príkazy, prihlasovacie údaje a obsah súborov presne tak, ako to definuje protokol, teda otvorene. Či na tom záleží, závisí od topológie a od toho, čo ešte tento úsek chráni, a nazvať adresu súkromnou na otázku neodpovedá. Rovnaká úvaha platí aj opačne, keď server žije v cloudovej sieti, ku ktorej sa brána dostáva cez ďalší skok.

Umiestnite koncový bod VPN a službu FTP na jeden stroj a nezostane žiadny ďalší úsek, o ktorý by bolo treba sa starať. To je iné umiestnenie, nie dôkaz, že procesy, súbory a prihlasovacie údaje hostiteľa sú v bezpečí.

Obyčajné FTP, FTPS a SFTP sú tri rozhodnutia

Obyčajné FTP nešifruje nič, vrátane hesla. FTPS pridáva k FTP protokol TLS, takže riadiaci kanál a pri vyjednaní aj dátový kanál sú chránené. SFTP je iný protokol prenášaný vnútri SSH a nie je to iný zápis FTPS.

Server musí túto voľbu podporovať, pretože klient nemôže vytvoriť poslucháča, ktorý tam nie je. Voľba SFTP nezmení službu fungujúcu len cez FTP na koncový bod SSH a premenovanie záložky alebo zmena portu nič nedokazuje o tom, čo bolo vyjednané. Potvrďte protokol na strane servera aj na strane klienta. Zámok v správcovi súborov je tvrdenie o relácii, nie o poslucháčovi za ňou.

Prečítajte si posledný stĺpec, keď na prenose záleží, pretože práve tam sa objaví neočakávaná zmena identity.

Dátové spojenie je druhé spojenie

FTP otvorí riadiace spojenie a potom samostatné dátové spojenia pre výpisy a prenosy. Chránené prihlásenie nehovorí nič o týchto neskorších spojeniach, ak nasadenie nevyžaduje ochranu aj pre ne.

Pri FTPS klient požiada o chránený dátový kanál konkrétnym príkazom a zásada servera môže otvorenú alternatívu odmietnuť. Overte, že ju zásada vyžaduje, namiesto predpokladu, že predvolené nastavenie klienta stačí. Pasívny režim pridáva druhú komplikáciu, pretože server inzeruje adresu a port pre dátové spojenie. Firewall alebo zariadenie NAT, ktoré tento inzerát prepíše alebo zablokuje, vytvorí reláciu, ktorá sa autentizuje a potom sa zasekne na prvom výpise.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Druhý príkaz ukazuje, čo server predkladá v riadiacom kanáli pred dotykom akéhokoľvek súboru. Tretí ukazuje, či sa vôbec nadviazalo dátové spojenie, čo je rozdiel medzi zlyhaním autentizácie a zlyhaním pasívneho režimu.

Kontroly identity prežijú tunel

Klient FTPS overuje identitu servera TLS a klient SFTP overuje kľúč hostiteľa SSH. Obe kontroly patria protokolu na prenos súborov a ani jednu nevykonáva VPN.

Toto oddelenie je dôležité, keď chce niečo v strede reláciu skontrolovať. Vypnutie TLS, aby sieťové zariadenie mohlo čítať príkazy, mení model ochrany namiesto toho, aby ho doplnilo, a to isté platí pre prijatie nevysvetleného kľúča hostiteľa preto, že tunel naskočil. Zachovajte zamýšľanú konfiguráciu dôvery a získajte správny materiál od operátora. Tunel, ktorý sa autentizuje, nehovorí nič o serveri na svojom vzdialenom konci.

Materiál súkromného kľúča a certifikátu pre tieto protokoly je zase tretie tajomstvo, oddelené od prihlasovacích údajov VPN.

Zapíšte, čo ste skutočne overili

Vyberte neškodný súbor, ktorý smiete presunúť, a poznamenajte si štyri skutočnosti o pokuse: ktorý protokol bežal, ktorá identita druhej strany bola overená, ktorá cesta bola zamýšľaná a či sa prenos dokončil.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Výpis adresára, prihlásenie do tunela a dokončený prenos sú tri samostatné pozorovania a len posledné hovorí, že cesta pre súbory funguje. Ak sa návrh spolieha na dôvernosť na zostávajúcom skoku len na VPN, zapíšte to ako rozhodnutie, ktorým to je. Preberacia poznámka, ktorá pomenuje skok a jeho predpoklad dôvery, má väčšiu cenu než snímka obrazovky pripojeného klienta.