Newsgroup: it.comp.os.linux.sys
Titolo: FTP, permessi e sicurezza

Salve a tutti,
vorrei fare qualche domanda a chi ne sa più di me per ciò che riguarda 
alcune questioni sulle quali preferirei avere un'opinione dai 
partecipanti a questo gruppo piuttosto che quella di una "guida" redatta 
da non so chi su qualche blog.
La prima domanda riguarda i demoni FTP disponibili su Linux/UNIX e 
prevede una risposta molto soggettiva :)
Quale mi consigliate per ciò che riguarda sicurezza, funzionalità, 
portabilità (esistono versioni anche per i vari UNIX) e complessità di 
configurazione?
Attualmente sto usando ProFTPd e, devo dire, "sarei" abbastanza 
soddisfatto se non avessi un paio di problemi che non riesco a 
risolvere; come poter (se si può) forzare la connessione in TLS 
esplicito da IP che provengono dall'esterno della LAN e inibire, invece, 
il TLS da IP della LAN. Ho provato veramente di tutto, ma non mi sembra 
ci sia modo.... anche se imposto "TLSRequired off" in un virtualhost con 
l'IP interno "vince" quello nella configurazione globale del server (+ 
mille altre prove fatte ma senza successo...).
Inoltre, dopo un bel po' che smanetto, sono sempre più convinto che la 
scelta di "dove" poter piazzare le varie direttive nel file di 
configurazione sia stata fatta da una scimmia che sbatteva la testa 
sulla tastiera.... IM_V_HO, certe direttive che non possono essere 
impostate in un virtualhost o altre che _devono_ essere impostate 
globalmente riducono fortemente la granularità che un server dovrebbe 
permettere.
Che faccio, provo vsftpd? O pureftpd? Differenze? Esperienze personali?
Vorrei evitare di doverli usare tutti e tre per 2 mesi prima di capire 
quale soddisfa meglio le mie necessità.
La seconda riguarda i permessi da applicare alle directory su un server 
per ottenere un buon grado di sicurezza (ovviamente parlo di directory 
adibite a contenere dati, non di quelle di sistema): per ora ho 
impostato le home degli utenti su drwxr-x---, è sensato per un server? O 
è forse meglio levare privilegi di lettura/listing anche al gruppo? Ma, 
soprattutto, qual è la best practice, creare un gruppo comune a tutti 
gli utenti o un gruppo per ogni utente? Per ora ho un gruppo per ogni 
utente, anche per evitare che altri utenti possano (anche se è 
un'eventualità remota, dovrebbero avere accesso fisico al server e, 
ovviamente, non ce l'hanno) "curiosare" nella home di un altro utente, 
visto i permessi che ho dato.
Ovviamente, i link a documentazione *seria* sono molto ben accetti, 
tralasciando quelli ufficiali dei server FTP che mi sto già spulciando 
per benino.
Grazie a tutti e scusate la lunghezza,
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
«Riflettere è considerevolmente laborioso;
ecco perché molta gente preferisce giudicare»
Ortega y Gasset

 
Immagino che tu faccia riferimento al fatto che sia meglio usare sftp.
Io attualmente uso ftp perche' in genere i miei interlocutori lato 
client non hanno un client sftp installato, e neanche glielo posso far 
installare, vuoi perche' magari sono tecnicamente sporvveduti, vuoi 
perche' non sono amministratori dei pc che utilizzano.
Tu come hai risolto questo problema? Esiste il modo di far funzionare 
Internet Explorer come client sftp?
Ciao.



vsftpd è ottimo , per molti utenti ti consiglio di usare anche mysql
(anche per motivi di sicurezza -> su howtoforge trovi).
prevedi la possibilità di cambiare password per i tuoi user e la gestione
delle quote ..
per le alternative su ssl io credo sia molto più fico e
funzionale passare a webdav supportato nativamente da explorer (vai su
network-place e aggiungi sito) e supporta un bel pò di cose : Web-based
Distributed Authoring and Versioning. è relativamente poco diffuso e
conosciuto ma funge troppo bene.
Bye

 (anche per motivi di sicurezza -> su howtoforge trovi).
Anche qua rilancio LDAP, piu` che altro perche` vsftpd non supporta
alcun metodo di autenticazione alternativo a PAM (ed integrare PAM e
LDAP e` uno scherzo)
Enrico

 conosciuto ma funge troppo bene.
Azpita... ce ne ho da studiare....  grazie ancora, continuo lo 
spippolamento... ma ritornerò! (sì, è una minaccia ;P)
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
«Tutti abbiamo udito la donnetta che dice:
"Oh, è terribile quello che fanno questi giovani a se stessi,
secondo me la droga è una cosa tremenda".
Poi tu la guardi, la donna che parla in questo modo:
è senza occhi, senza denti, senza cervello, senz'anima, senza culo,
né bocca, né calore umano, né spirito, niente, solo un bastone,
e ti chiedi come avran fatto a ridurla in quello stato
i the con i pasticcini e la chiesa»
Charles Bukowski

 Non esiste una 'best practice', dipende da cosa ci fai con la macchina.
Capito, quindi, per ora, lascio così com'è 'ché mi sembra la cosa più 
logica nella mia situazione.
Grazie ancora,
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
«Oh, beware, my lord, of jealousy;
it is the green-eyed monster which doth mock
the meat it feeds on; that cuckold lives in bliss
who, certain of his fate, loves not his wronger»
Iago in "Othello", act 3, scene 3

 Come no? Utenti virtuali.
Come in proftpd? Cioè un file simile al passwd con cui poi si "binda" 
una corrispondenza con degli utenti/gruppi reali della macchina nel 
"vero" passwd?
Sto leggendo la doc e non mi sembra affatto male... poi 'sta cosa del 
codice minimale per la sicurezza.... mi hanno sempre affascinato cose 
come openbsd o simili.....
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
A computer is like an air conditioner:
it stops working when you open Windows

 Come no? Utenti virtuali.
Ehm, si, lo so, pero` mi dimentico sempre che ci sono (soprattutto
perche` di solito utilizzo il metodo che ho riportato) ^^;
Enrico

 
http://howtoforge.com/vsftpd_mysql_debian_etch
 
vai così e sei pronto in 30 sec.
puoi consentire gestione password con una/2 paginette php .. sullo stile
di PostfixAdmin nella intranet(forse puoi pure adattarti il codice)..
a ldap ci ho pensato ma non mi piaceva creare utenti solo per l'accesso a
risorse esposte all'area internet (considerando che abbiamo Exchange con
OWA non è fico nemmeno che gli user incasinino le loro pazzword per
scambiare dati con esterni) anche se in questo modo risolvi il prob
delle password, che se le cambiano da soli, e non ti scocciano ogni 3
sec.... io guarderei con interesse anche a webdav.. a volte mi capita che
all'esterno abbiano client poco compatibili o che fanno casino con mod.
attiva/passiva ecc ecc..

 directory con il file di configurazione.
E che UID/GID usa poi vsftpd per memorizzare i file? I suoi (vsftpd/vsftpd)?
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
There are three types of people in the world:
- those who think
- those who think they think
- those who are happy to be told how to think
ordered by increasing percentage value, obviously

 o che fanno casino con mod. attiva/passiva ecc ecc..
Per questi problemi oramai rispondo: "Usi FileZilla? Allora inizia ad 
usarlo." ;)
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
Ho trovato un sito eccezionale: te poi scarica' la coscienza...

 
http://howtoforge.com/vsftpd_mysql_debian_etch
che tu sappia funziona anche con posgresql? che ce l'ho gia' su, e non
ho voglia di installare mysql per vsftpd...
Ciao Jack

 sentite fino in Madagascar...)
dicevo anche io così .. (mahhhhhaahahAAHAHHh)
dipende quanti user hai e quanto sono rozzi/inopportuni ..
è per me anche un sistema di delega delle responsabilità (avvocati
,gestionali ecc ecc.. rompono ti assicuro e se possono ti corrono dietro
senza vasella.. )...
anche per FileZilla .. idem ..  a volte se parti con il piede sbagliato
sono cax.. anche per le cose semplici.. conosci i tuoi utenti , quali,
quanti e come sono .. sono sicuro che farai la scelta migliore ..
Bye
Danilo


Architecture: amd64
Source: pam-pgsql
Version: 0.5.2-9.3
Depends: libc6 (>= 2.6.1-1), libmhash2, libpam0g (>= 0.99.7.1), libpq5
Filename: pool/main/p/pam-pgsql/libpam-pgsql_0.5.2-9.3_amd64.deb
Size: 15384
MD5sum: 4405d2b32106b0ef5d3c3381af3dce1a
SHA1: b2394b12d67bf2ca83d02f6f38b98b2aa20e5958
SHA256: 56642c799e83ef4d0c70b9a9c10bfe78323947968851cf935f10c84e54f57aa9
Description: PAM module to authenticate using a PostgreSQL database
 This module lets you authenticate users against a table in a PostgreSQL
 database. It also supports checking account information and updating
 authentication tokens (ie. passwords).
Tag: security::authentication
ebianchi@bart:~$ 
Enrico



libpam-pgsql - PAM module to authenticate using a PostgreSQL database
and so , apt-get install libpam-pgsql   (o yum ecc ecc)
poi modifichi i due righi:
-auth required pam_mysql.so user=vsftpd passwd=ftpdpass host=localhost
	db=vsftpd table=accounts usercolumn=username passwdcolumn=pass crypt=2
-account required pam_mysql.so user=vsftpd passwd=ftpdpass host=localhost
	db=vsftpd table=accounts usercolumn=username passwdcolumn=pass crypt=2
sostituendo pam_mysql.so con la sua sorellina postgres  (tipo
pam_post*.so o simile cerca )
non so dirti se funge, prova se hai tempo .. 
Bye
Danilo

 quanti e come sono .. sono sicuro che farai la scelta migliore ..
Speriamo ;)
-- 
Fr3ddie
fr3...@fr3ddie.it
Home Page: 
http://www.fr3ddie.it
PGP Public Key available on my website
﻿«La felicità di un uomo dipende dalle donne che non ha sposato»
Oscar Wilde