So sichern Sie vsFTPd mit SSL / TLS

• Installation von vsFTPd
• Generieren Sie ein selbstsigniertes Zertifikat
• Installieren Sie das neue Zertifikat in vsFTPd
• Bestätigen Sie die Installation

Sehr sicherer FTP-Daemon oder einfach vsFTPd ist eine leichte Software mit hervorragender Anpassbarkeit. In diesem Tutorial werden wir eine bereits vorhandene Installation auf einem Debian-System mit unserem eigenen selbstsignierten SSL / TLS-Zertifikat sichern. Obwohl es für Debian geschrieben wurde, sollte es auf den meisten Linux-Distributionen wie Ubuntu und CentOS funktionieren.

Installation von vsFTPd

Auf einem neuen Linux-VPS müssen Sie zuerst vsFTPd installieren. Obwohl Sie in diesem Tutorial die grundlegenden Schritte zur Installation von vsFTPd finden, empfehle ich Ihnen, auch diese beiden ausführlicheren Tutorials zu lesen: Richten Sie vsFTPd unter Debian / Ubuntu ein und installieren Sie vsFTPd unter CentOS . Dort werden alle Schritte zur Installation näher erläutert.

Installation unter Debian / Ubuntu:

apt-get install vsftpd

Installation unter CentOS:

yum install epel-release
yum install vsftpd

Konfiguration Öffnen Sie die Konfigurationsdatei: /etc/vsftpd.conf in Ihrem bevorzugten Texteditor. In diesem Tutorial verwenden wir nano.

nano /etc/vsftpd.conf

Fügen Sie die folgenden Zeilen in die Konfiguration ein:

anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES

Starten Sie zum Abschluss Ihren vsFTPd-Daemon neu:

/etc/init.d/vsftpd restart

Sie sollten sich jetzt als beliebiger lokaler Benutzer über FTP anmelden können. Lassen Sie uns nun fortfahren und diese Software sichern.

Generieren Sie ein selbstsigniertes Zertifikat

Ein selbstsigniertes Zertifikat wird normalerweise in einem Protokoll zur Vereinbarung eines öffentlichen Schlüssels verwendet. Mit diesem Zertifikat opensslgenerieren Sie jetzt einen öffentlichen Schlüssel und einen entsprechenden privaten Schlüssel. Zunächst müssen wir ein Verzeichnis erstellen, um diese beiden Schlüsseldateien zu speichern, vorzugsweise an einem sicheren Ort, auf den normale Benutzer nicht zugreifen können.

mkdir -p /etc/vsftpd/ssl

Zur eigentlichen Generierung des Zertifikats speichern wir beide Schlüssel in derselben Datei ( /etc/vsftpd/ssl/vsftpd.pem ):

openssl req -x509 -nodes -days 365 -newkey rsa:4096 -keyout /etc/vsftpd/ssl/vsftpd.pem -out /etc/vsftpd/ssl/vsftpd.pem

Nach dem Ausführen des Befehls werden Ihnen einige Fragen gestellt, z. B. Ländercode, Bundesland, Stadt, Name der Organisation usw. Verwenden Sie Ihre eigenen oder die Informationen Ihrer Organisation. Die wichtigste Zeile ist jetzt der allgemeine Name, der mit der IP-Adresse Ihres VPS übereinstimmen muss, alternativ ein Domänenname, der darauf verweist.

Dieses Zertifikat ist 365 Tage (~ 1 Jahr) gültig, verwendet das RSA-Schlüsselvereinbarungsprotokoll mit einer Schlüssellänge von 4096 Bit und die Datei mit beiden Schlüsseln wird in dem gerade erstellten neuen Verzeichnis gespeichert. Weitere Informationen zur Schlüssellänge und ihrer Beziehung zur Sicherheit finden Sie unter: Empfehlungen für Verschlüsselung II .

Installieren Sie das neue Zertifikat in vsFTPd

Um unser neues Zertifikat zu verwenden und somit eine Verschlüsselung bereitzustellen, müssen wir die Konfigurationsdatei erneut öffnen:

nano /etc/vsftpd.conf

Wir müssen die Pfade zu unseren neuen Zertifikat- und Schlüsseldateien hinzufügen. Da sie in derselben Datei gespeichert sind, sollte sie auch in der Konfiguration identisch sein.

rsa_cert_file=/etc/vsftpd/ssl/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/ssl/vsftpd.pem

Wir müssen diese Zeile hinzufügen, um sicherzustellen, dass SSL aktiviert wird:

ssl_enable=YES

Optional können anonyme Benutzer die Verwendung von SSL blockieren, da auf einem öffentlichen FTP-Server keine Verschlüsselung erforderlich ist.

allow_anon_ssl=NO

Als nächstes müssen wir angeben, wann SSL / TLS verwendet werden soll. Dadurch wird die Verschlüsselung sowohl für die Datenübertragung als auch für die Anmeldeinformationen aktiviert

force_local_data_ssl=YES
force_local_logins_ssl=YES

Wir können auch angeben, welche Versionen und Protokolle verwendet werden sollen. TLS ist im Allgemeinen sicherer als SSL. Daher können wir TLS zulassen und gleichzeitig ältere Versionen von SSL blockieren.

ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

Die Wiederverwendung von SSL und die Verwendung von High-Chiffren tragen ebenfalls zur Verbesserung der Sicherheit bei. Aus den Manpages von vsFTPd:

require_ssl_reuse Wenn diese Option auf yes gesetzt ist, müssen alle SSL-Datenverbindungen eine Wiederverwendung von SSL-Sitzungen aufweisen (was beweist, dass sie dasselbe Hauptgeheimnis wie der Steuerkanal kennen). Obwohl dies eine sichere Standardeinstellung ist, können viele FTP-Clients beschädigt werden. Daher möchten Sie sie möglicherweise deaktivieren. Eine Diskussion der Konsequenzen finden Sie unter http://scarybeastsecurity.blogspot.com/2009/02/vsftpd-210-released.html (hinzugefügt in Version 2.1.0).

ssl_ciphers Mit dieser Option können Sie auswählen, welche SSL-Chiffren vsftpd verschlüsselte SSL-Verbindungen zulassen. Weitere Informationen finden Sie auf der Manpage zu den Chiffren. Beachten Sie, dass das Einschränken von Chiffren eine nützliche Sicherheitsmaßnahme sein kann, da böswillige Remote-Parteien eine Chiffre erzwingen, mit der sie Probleme festgestellt haben.

require_ssl_reuse=YES
ssl_ciphers=HIGH

Beenden Sie den vsftpdVorgang , indem Sie den Daemon neu starten

/etc/init.d/vsftpd restart

Bestätigen Sie die Installation

Und das war's, Sie sollten jetzt in der Lage sein, eine Verbindung zu Ihrem Server herzustellen und zu bestätigen, dass alles funktioniert. Wenn Sie FileZilla verwenden, sollte bei der Verbindung ein Dialogfeld mit Ihren Organisationsinformationen (oder was auch immer Sie beim vorherigen Generieren des Zertifikats eingegeben haben) geöffnet werden. Die Ausgabe sollte dann ungefähr so ​​aussehen:

Status: Connection established, waiting for welcome message...
Status: Initializing TLS...
Status: Verifying certificate...
Status: TLS connection established.

Weitere Informationen zu vsFTPd finden Sie in den Handbuchseiten:

man vsftpd