Ku përfundon mbrojtja e VPN-së në rrugën drejt një serveri FTP

Një VPN mbron një rrugë, dhe çdo rrugë ka një fund. Kur tuneli përfundon te porta e një kompanie, transferimi i skedarëve vazhdon prej andej nën mbrojtjen që ofron protokolli i tij. Ky dallim vendos nëse një transferim është i mbrojtur nga fillimi në fund apo vetëm deri te porta. Treguesi Connected nuk thotë asgjë për asnjërën.

Dy vendosje, dy rrugë të mbetura

Merrni një laptop që lidhet me VPN-në e kompanisë dhe më pas hap një sesion FTP drejt një serveri të brendshëm të veçantë. Tuneli ndalon te porta, dhe segmenti nga porta deri te ai server mbetet jashtë saj.

FTP i thjeshtë nuk fiton kriptim vetëm sepse paketat e tij mbërritën përmes një tuneli. Në atë segment të mbetur, komandat, kredencialet dhe përmbajtja e skedarëve udhëtojnë saktësisht siç përcakton protokolli, domethënë hapur. Nëse kjo ka rëndësi varet nga topologjia dhe nga çfarë tjetër e mbron segmentin, dhe quajtja private e adresës nuk i përgjigjet pyetjes. I njëjti arsyetim vlen edhe anasjelltas kur serveri ndodhet në një rrjet cloud që porta e arrin përmes një kërcimi tjetër.

Vendosni pikën fundore të VPN-së dhe shërbimin FTP në një makinë të vetme, dhe nuk mbetet asnjë segment tjetër për t'u shqetësuar. Kjo është një vendosje tjetër, jo një provë se proceset, skedarët dhe kredencialet e hostit janë të sigurta.

FTP i thjeshtë, FTPS dhe SFTP janë tre vendime

FTP i thjeshtë nuk kripton asgjë, as fjalëkalimin. FTPS shton TLS në FTP, kështu që kanali i kontrollit dhe, kur negociohet, kanali i të dhënave mbrohen. SFTP është një protokoll tjetër i transportuar brenda SSH, dhe nuk është një shkrim tjetër i FTPS.

Serveri duhet ta mbështesë këtë zgjedhje, sepse një klient nuk mund të sajojë një dëgjues që nuk ekziston. Zgjedhja e SFTP nuk e kthen një shërbim vetëm me FTP në një pikë fundore SSH, dhe riemërtimi i një faqeshënuesi ose ndryshimi i një porte nuk provon asgjë për atë që u negociua. Konfirmoni protokollin si nga ana e serverit ashtu edhe nga ana e klientit. Një dry në një menaxher skedarësh është një pohim për sesionin, jo për dëgjuesin pas tij.

Lexoni kolonën e fundit kur transferimi ka rëndësi, sepse aty shfaqet një ndryshim i papritur identiteti.

Lidhja e të dhënave është një lidhje e dytë

FTP hap një lidhje kontrolli dhe më pas lidhje të dhënash të veçanta për listat dhe transferimet. Një hyrje e mbrojtur nuk thotë asgjë për ato lidhje të mëvonshme, përveç nëse vendosja kërkon mbrojtje edhe për to.

Me FTPS, klienti kërkon një kanal të dhënash të mbrojtur përmes një komande të caktuar, dhe një politikë e serverit mund të refuzojë alternativën e hapur. Verifikoni që politika e kërkon këtë, në vend që të supozoni se vlera e parazgjedhur e klientit mjafton. Modaliteti pasiv shton një ndërlikim të dytë, sepse serveri shpall një adresë dhe një port për lidhjen e të dhënave. Një firewall ose pajisje NAT që rishkruan ose bllokon atë shpallje prodhon një sesion që autentikohet dhe më pas ngec në listën e parë.

curl -vk ftps://files.corp.example/ --user alice --ftp-ssl-control
openssl s_client -connect files.corp.example:21 -starttls ftp
ss -tnp | grep -E ':21|:990'

Komanda e dytë tregon çfarë paraqet serveri në kanalin e kontrollit përpara se të preket ndonjë skedar. E treta tregon nëse u vendos ndonjëherë një lidhje e të dhënave, që është dallimi midis dështimit të autentikimit dhe dështimit të modalitetit pasiv.

Kontrollet e identitetit i mbijetojnë tunelit

Një klient FTPS vërteton identitetin e një serveri TLS, dhe një klient SFTP vërteton një çelës hosti SSH. Të dyja kontrollet i përkasin protokollit të transferimit të skedarëve, dhe asnjërën nuk e kryen VPN-ja.

Ky ndarje ka rëndësi kur diçka në mes dëshiron të inspektojë sesionin. Çaktivizimi i TLS që një pajisje rrjeti të lexojë komandat ndryshon modelin e mbrojtjes në vend që ta plotësojë, dhe e njëjta gjë vlen për pranimin e një çelësi hosti të pashpjeguar sepse tuneli u ngrit. Mbani konfigurimin e synuar të besimit dhe merrni materialin e saktë nga operatori. Një tunel që autentikohet nuk thotë asgjë për serverin në skajin e tij të largët.

Materiali i çelësit privat dhe i certifikatës për këto protokolle është edhe një sekret i tretë, i ndarë nga kredencialet e VPN-së.

Shkruani çfarë keni verifikuar vërtet

Zgjidhni një skedar të padëmshëm që ju lejohet ta zhvendosni, dhe shkruani katër fakte për përpjekjen: cili protokoll ekzekutohej, cili identitet i palës tjetër u kontrollua, cila rrugë ishte e synuar, dhe nëse transferimi përfundoi.

lftp -u alice -e "set ftp:ssl-protect-data true; ls; bye" ftps://files.corp.example
sftp -v [email protected]

Një listë drejtorie, një hyrje në tunel dhe një transferim i përfunduar janë tre vëzhgime të veçanta, dhe vetëm i fundit thotë se rruga funksionon për skedarët. Nëse projektimi mbështetet vetëm te VPN-ja për konfidencialitetin në kërcimin e mbetur, shkruajeni atë si vendimin që është. Një shënim pranimi që emërton kërcimin dhe supozimin e tij të besimit vlen më shumë sesa një pamje ekrani e një klienti të lidhur.