web-dev-qa-db-fra.com

Pourquoi le chroot_local_user de VSFTPD est-il insécurisé?

Je suis en place sur mon VPS A VSFTPD, et je ne veux pas que les utilisateurs soient autorisés à quitter leur répertoire de maison FTP. J'utilise local_user FTP, pas anonyme, alors j'ai ajouté:

chroot_local_user = oui

J'ai lu beaucoup de poste de forum, que cela ne soit pas sécurisé.

  1. Pourquoi est-ce non sécurisé?
  2. Si cela n'est pas sûr à cause de l'utilisation de SSH pour rejoindre mon VPS également, je pourrais simplement verrouiller ces utilisateurs de SSHD, non?
  3. Y a-t-il une autre option pour avoir atteint ce comportement de VSFTPD? (Je ne veux pas supprimer les autorisations de lecture sur tous les dossiers/fichiers du "monde" sur mon système)
linuxcentosftpvpsvsftpd
20
p1100i

Vérifiez ici pour FAQ de VSFTPD pour la réponse à votre recherche. Vous trouverez ci-dessous l'extrait important que je pense répondre à votre question.

Q) Aide! Quelles sont les implications de sécurité mentionnées dans l'option "chroot_local_user"?

A) Premièrement, notez que d'autres démons FTP ont les mêmes implications. C'est un problème générique. Le problème n'est pas trop sévère, mais c'est le cas: certaines personnes ont des comptes d'utilisateurs FTP qui ne sont pas confiés à avoir un accès complet à Shell. Si ces comptes peuvent également télécharger des fichiers, il y a un faible risque. Un mauvais utilisateur a maintenant le contrôle de la racine du système de fichiers, qui est leur répertoire personnel. Le démon FTP peut causer un fichier de configuration à lire - par exemple./etc/certains_file. Avec Chroot (), ce fichier est maintenant sous le contrôle de l'utilisateur. VSFTPD est prudent dans ce domaine. Mais le System's Libc pourrait souhaiter ouvrir des fichiers de configuration locale ou d'autres paramètres ...

20
Nic Young

Le problème est que vous ne pouvez pas utiliser tous les deux des comptes locaux et désactiver ces comptes de Shell Login. Si vous définissez leur coque de connexion sur/bin/nologin, il ne vous laissera pas vous connecter avec VSFTPD.

Un démon FTP meilleur et plus sécurisé serait pur-ftpd. Regarde-le, il est disponible auprès du référentiel Epel et permet de créer des utilisateurs virtuels. Le serveur utilise un utilisateur/groupe commun pour définir toutes les autorisations pour les dossiers HOME des utilisateurs et les "cartes" des utilisateurs virtuels à cet utilisateur lorsqu'il se connecte pour traiter les autorisations. C'est plus sûr et vous n'avez pas à gérer la sécurité de la connexion OpenSSH.

Pure-FTPD prend également en charge une grande quantité de fonctionnalités telles que des quotas, des ratios etc. Beaucoup mieux que vsftpd.

Voici un tutoriel simple sur la façon d'installer et de configurer un utilisateur virtuel de base: http://blog.namran.net/2011/05/04/how-to-setup-virtual-ftp-server-utuer- pure-ftpd-in-centos /

Si vous lisez le document complet (que vous devez), vous saurez que le commutateur -D lors de la création de l'utilisateur virtuel est un auto-chroot à ce répertoire pour cet utilisateur.

4
Yanick Girouard