ct

    Servidor ProFTPd seguro com TLS/SSL e MySQL

    Artigos

    este documento sugere a instalação de um ambiente de FTP confiável através de criptogMailman com Postfix e Domínio Virtualrafia usando chaves TLS/SSL, seguro por não utilizar usuários do sistema (e sim usuários virtuais), flexível com sua administração via web de fácil utilização, e escalável guardando as informações em um banco de dados baseado em SQL.Luis Nardella e Tiago Cruz
    16/09/2005

    Introdução

    Este documento sugere a instalação de um ambiente de FTP confiável através de criptografia usando chaves TLS/SSL, seguro por não utilizar usuários do sistema (e sim usuários virtuais), flexível com sua administração via web de fácil utilização, e escalável guardando as informações em um banco de dados baseado em SQL.

    As instruções estão baseadas em um sistema rodando FreeBSD, mas podem (e devem) ser usadas em outros sabores do Unix/ Linux.

    ProFTPd

    A versão atual é a proftpd-1.3.0.r2, e a mesma deverá ser compilada com suporte a MySQL e SSL, para tanto:

    # cd /usr/ports/ftp/proftpd
    # make config
    # make install clean

    Certifique-se de marcar as opções "MYSQL" e "OPENSSL"!

    ProFTPd_Admin

    A versão atual é a proftpd_admin_v0.7, e a mesma deverá ser baixada do site oficial e descompactada em um lugar acessível pelo apache e preferencialmente protegido por usuário e senha pelo htpasswd.

    Ex: /var/www/htdocs/dominio.com/ftp/

    Onde ftp é um link simbólico para proftpd_admin_v0.7, e a URL final fica http://dominio.com/ftp

    Use o arquivo de configuração padrão dele para adaptar as suas necessidades:

    # cd /var/www/htdocs/dominio.com/ftp/
    # cp misc/sample_config/proftpd.conf /usr/local/etc/proftpd.conf

    No proftpd.conf, informe o usuário, senha e etc para a conexão ao MySQL:

    SQLAuthTypes Backend
    SQLAuthenticate users
    SQLConnectInfo proftpd_admin@localhost proftpd senha
    SQLUserInfo usertable userid passwd uid gid homedir shell
    SQLGroupInfo grouptable groupname gid members
    SQLUserWhereClause "disabled=0 and (expiration >= NOW() OR expiration='0000-00-00 00:00:00')"


    Consulte o manual de instalação do mesmo em caso de problemas.

    MySQL

    O ProFTPd_Admin trabalha em conjunto com o MySQL, que deverá estar instalado e rodando neste momento. Para criar a estrutura:

    # cd /var/www/htdocs/dominio.com/ftp/
    # mysql -u root -p < misc/database_structure/db_structure.sql

    Teste se o ambiente está funcional antes de ir ao póximo passo.

    Criação do Certificado TLS/SSL

    Para criar o certificado que o usuário irá aceitar ao acessar o FTP, siga os passos descritos no modssl.org, que se resume em:

    • Criação do Certificado:
    Certifique-se de preencher o parâmetro "CommonName" do último comando com um endereço FQDN.
    $ openssl genrsa -des3 -out server.key 1024
    $ openssl rsa -in server.key -out server.key.unsecure
    $ openssl req -new -key server.key -out server.csr

    • Criação do Certificado de Autoridade (CA):
    $ openssl genrsa -des3 -out ca.key 1024
    $ openssl rsa -in ca.key -out ca.key.unsecure
    $ openssl req -new -x509 -days 365 -key ca.key -out ca.crt

    Você precisará de um script chamado sign.sh que geralmente vem no pacote mod_ssl do apache. No debian, por exemplo o pacote chama-se libapache-mod-ssl e o arquivo fica em /usr/share/doc/libapache-mod-ssl/examples/sign.sh.

    $ ./sign.sh server.csr

    Agora que você tem um CA assinado, você pode validar o certificado criado anteriormente:

    $ openssl x509 -noout -text -in server.crt

    Configurando o ProFTPd para usar TLS/SSL

    Adicione esse trecho ao seu proftpd.conf, usando o caminho correto dos arquivos .crt:

    <IfModule mod_tls.c>
    TLSEngine on
    TLSLog /var/log/proftpd/tls_log
    TLSProtocol SSLv23

    # Se ligado, aceita _apenas_ conexões seguras!
    TLSRequired on

    # Server's certificate
    TLSRSACertificateFile /usr/local/etc/ssl/server.crt
    TLSRSACertificateKeyFile /usr/local/etc/ssl/server.key.unsecure

    # CA the server trusts
    TLSCACertificateFile /usr/local/etc/ssl/ca.crt

    # Authenticate clients that want to use FTP over TLS?
    TLSVerifyClient off
    </IfModule>

    Estamos usando o protocolo SSLv23 no lugar do TLSv1 devido a problemas como "wrong version number" depois de de algumas atualizações com o portaudit e portupgrade.

    Observações sobre Usuários Virtuais

    Ao utilizar o proftpd_admin, você irá notar que os usuários e grupos criados não possuem entrada no /etc/passwd e no /etc/groups.

    Por exemplo, meu grupo "users" possui o GID 10001, e meu usuário "teste" possui UID 10000. Então, dê pemissão no diretório assim:

    # mkdir -p /var/ftp/teste
    # chown 10000:10001 /var/ftp/teste

    Se você desejar que via FTP os arquivos criados sejam acessíveis para usuários de outro grupo, use o "umask 002" no seu proftpd.conf.

    Glossário

    » Gostou do texto? Veja nossos livros impressos

    ... ou use a busca para localizar outros artigos relacionados:

cb
Livros de Carlos E. Morimoto HOME