Como proteger vsFTPd com SSL / TLS

• Instalação do vsFTPd
• Gere um certificado autoassinado
• Instale o novo certificado no vsFTPd
• Confirme a instalação

O daemon FTP muito seguro, ou simplesmente vsFTPd, é um software leve, com grande capacidade de personalização. Neste tutorial, protegeremos uma instalação já existente em um sistema Debian usando nosso próprio certificado SSL / TLS autoassinado. Apesar de ter sido escrito para o Debian, ele deve funcionar na maioria das distribuições Linux, como Ubuntu e CentOS, por exemplo.

Instalação do vsFTPd

Em um VPS Linux novo, você precisa instalar o vsFTPd primeiro. Embora você encontre as etapas básicas para instalar o vsFTPd neste tutorial, recomendo que você leia estes dois tutoriais mais detalhados: Configuração do vsFTPd no Debian / Ubuntu e Instalação do vsFTPd no CentOS . Todas as etapas relacionadas à instalação são explicadas com mais cuidado aqui.

Instalação no Debian / Ubuntu:

apt-get install vsftpd

Instalação no CentOS:

yum install epel-release
yum install vsftpd

Configuração Abra o arquivo de configuração: /etc/vsftpd.conf no seu editor de texto favorito, neste tutorial que usamos nano.

nano /etc/vsftpd.conf

Cole as seguintes linhas na configuração:

anonymous_enable=NO
local_enable=YES
write_enable=YES
chroot_local_user=YES

Conclua reiniciando seu daemon vsFTPd:

/etc/init.d/vsftpd restart

Agora você deve conseguir fazer login como qualquer usuário local por FTP, agora vamos seguir em frente e proteger este software.

Gere um certificado autoassinado

Um certificado autoassinado é normalmente usado em um protocolo de contrato de chave pública, agora você usará opensslpara gerar uma chave pública e uma chave privada correspondente. Antes de tudo, precisamos criar um diretório para armazenar esses dois arquivos-chave, de preferência em um local seguro, que os usuários normais não possam acessar.

mkdir -p /etc/vsftpd/ssl

Agora, para a geração real do certificado, vamos armazenar as duas chaves no mesmo arquivo ( /etc/vsftpd/ssl/vsftpd.pem ):

openssl req -x509 -nodes -days 365 -newkey rsa:4096 -keyout /etc/vsftpd/ssl/vsftpd.pem -out /etc/vsftpd/ssl/vsftpd.pem

Depois de executar o comando, você será solicitado a fazer algumas perguntas, como código do país, estado, cidade, nome da organização etc. use suas próprias informações ou as da sua organização. Agora, a linha mais importante é o nome comum, que deve corresponder ao endereço IP do seu VPS, ou um nome de domínio apontando para ele.

Este certificado será válido por 365 dias (~ 1 ano), usará o protocolo de contrato de chave RSA com um comprimento de chave de 4096 bits, e o arquivo contendo as duas chaves será armazenado no novo diretório que acabamos de criar. Para obter mais detalhes sobre o comprimento da chave e sua relação com a segurança, consulte o seguinte: Recomendações sobre criptografia II .

Instale o novo certificado no vsFTPd

Para começar a usar nosso novo certificado e, assim, fornecer criptografia, precisamos abrir o arquivo de configuração novamente:

nano /etc/vsftpd.conf

Precisamos adicionar os caminhos ao nosso novo certificado e arquivos de chave. Como eles são armazenados no mesmo arquivo, também deve ser o mesmo dentro da configuração.

rsa_cert_file=/etc/vsftpd/ssl/vsftpd.pem
rsa_private_key_file=/etc/vsftpd/ssl/vsftpd.pem

Nós devemos adicionar esta linha para garantir que o SSL seja ativado:

ssl_enable=YES

Opcionalmente, podemos bloquear usuários anônimos de usar SSL, pois a criptografia não é necessária em um servidor FTP público.

allow_anon_ssl=NO

Em seguida, precisamos especificar quando usar SSL / TLS, isso permitirá a criptografia para transferência de dados e credenciais de login

force_local_data_ssl=YES
force_local_logins_ssl=YES

Também podemos especificar quais versões e protocolos serão usados. O TLS geralmente é mais seguro que o SSL e, portanto, podemos permitir o TLS e, ao mesmo tempo, bloquear versões mais antigas do SSL.

ssl_tlsv1=YES
ssl_sslv2=NO
ssl_sslv3=NO

Exigir reutilização de SSL e o uso de cifras altas também ajudará a melhorar a segurança. Nas páginas de manual do vsFTPd:

require_ssl_reuse Se configurada como yes, todas as conexões de dados SSL deverão exibir a reutilização da sessão SSL (o que prova que eles conhecem o mesmo segredo principal do canal de controle). Embora esse seja um padrão seguro, ele pode interromper muitos clientes de FTP; portanto, convém desativá-lo. Para uma discussão sobre as consequências, consulte http://scarybeastsecurity.blogspot.com/2009/02/vsftpd-210-released.html (adicionado na v2.1.0).

ssl_ciphers Esta opção pode ser usada para selecionar quais cifras SSL vsftpd permitirão conexões SSL criptografadas. Consulte a página do manual cifras para obter mais detalhes. Observe que restringir cifras pode ser uma precaução de segurança útil, pois evita que partes remotas maliciosas forcem uma cifra com a qual encontraram problemas.

require_ssl_reuse=YES
ssl_ciphers=HIGH

Conclua reiniciando o vsftpddaemon

/etc/init.d/vsftpd restart

Confirme a instalação

E é isso, agora você deve conseguir se conectar ao seu servidor e confirmar que tudo funciona. Se você estiver usando o FileZilla, uma caixa de diálogo contendo as informações da sua organização (ou o que você inseriu ao gerar o certificado anteriormente) deve ser aberta na conexão. A saída deve ser semelhante a esta:

Status: Connection established, waiting for welcome message...
Status: Initializing TLS...
Status: Verifying certificate...
Status: TLS connection established.

Para saber mais sobre o vsFTPd, consulte as páginas de manual:

man vsftpd