Предговор

Пре само недељу дана писао сам есеј на тему назначену у наслову и суочио се са чињеницом да, рецимо, на интернету нема толико едукативних информација. Углавном суве чињенице и упутства за подешавање. Зато сам одлучио да мало исправим текст и поставим га као чланак.

Шта је ФТП

ФТП (Филе Трансфер Протоцол) је протокол за пренос датотека преко мреже. То је један од основних Етхернет протокола. Појавио се 1971. године и првобитно је радио у ДАРПА мрежама. Тренутно, као и ХТТП, пренос датотека се заснива на моделу који се састоји од скупа ТЦП/ИП (Трансмиссион Цонтрол Протоцол/Интернет Протоцол) протокола. Дефинисано у РФЦ 959.

Протокол дефинише следеће:

• Како ће се извршити провера грешке?
• Начин паковања података (ако се користи паковање)
• Како уређај за слање показује да је завршио поруку?
• Како пријемни уређај показује да је примио поруку?

Комуникација између клијента и сервера

Хајде да ближе погледамо процесе који се јављају током ФТП операције. Везу иницијализује интерпретер корисничких протокола. Централа се контролише преко контролног канала у ТЕЛНЕТ стандарду. ФТП команде генерише корисников тумач протокола и шаље их серверу. Одговори сервера се такође шаљу кориснику преко контролног канала. Уопштено говорећи, корисник има могућност да успостави контакт са тумачем протокола сервера и другим средствима осим тумача корисника.

Главна карактеристика ФТП-а је да користи двоструке везе. Један од њих се користи за слање команди серверу и подразумевано се јавља преко ТЦП порта 21, који се може променити. Контролна веза постоји све док клијент комуницира са сервером. Контролни канал мора бити отворен приликом преноса података између машина. Ако је затворен, пренос података се зауставља. Преко другог долази до директног преноса података. Отвара се сваки пут када дође до преноса датотеке између клијента и сервера. Ако се истовремено преноси више датотека, свака од њих отвара сопствени канал за пренос.

ФТП може да ради у активном или пасивном режиму, чији избор одређује како ће се веза успоставити. У активном режиму, клијент креира ТЦП контролну везу са сервером и шаље серверу своју ИП адресу и произвољан број порта клијента, а затим чека да сервер започне ТЦП везу са овом адресом и бројем порта. У случају да се клијент налази иза заштитног зида и не може да прихвати долазну ТЦП везу, може се користити пасивни режим. У овом режиму, клијент користи контролни ток да пошаље ПАСВ команду серверу, а затим прима његову ИП адресу и број порта од сервера, које клијент затим користи да отвори ток података са свог произвољног порта.

Могуће је да се подаци пренесу на трећу машину. У овом случају, корисник организује контролни канал са два сервера и организује директан канал података између њих. Контролне команде иду преко корисника, а подаци иду директно између сервера.

Приликом преноса података преко мреже, могу се користити четири приказа података:

• АСЦИИ – користи се за текст. Подаци се, ако је потребно, конвертују из приказа знакова на хосту који шаље у "осмобитни АСЦИИ" пре преноса и (опет, ако је потребно) у приказ знакова на хосту који прима. Посебно се мењају карактери новог реда. Као резултат тога, овај режим није погодан за датотеке које садрже више од обичног текста.
• Бинарни режим – уређај за слање шаље сваки фајл бајт по бајт, а прималац чува ток бајтова по пријему. Подршка за овај режим је препоручена за све ФТП имплементације.
• ЕБЦДИЦ – користи се за пренос обичног текста између хостова у ЕБЦДИЦ кодирању. Иначе, овај режим је сличан АСЦИИ режиму.
• Локални режим – омогућава два рачунара са идентичним подешавањима да шаљу податке у сопственом формату без конверзије у АСЦИИ.

Пренос података се може извршити на било који од три начина:

• Режим стримовања - подаци се шаљу као континуирани ток, ослобађајући ФТП од обављања било какве обраде. Уместо тога, сву обраду обавља ТЦП. Индикатор краја датотеке није потребан осим за раздвајање података у записе.
• Блок режим – ФТП разбија податке у неколико блокова (блок заглавља, број бајтова, поље података) и затим их преноси на ТЦП.
• Режим компресије – подаци се компримују помоћу једног алгоритма (обично кодирањем дужине покретања).

ФТП сервер је сервер који пружа могућност коришћења протокола за пренос датотека. Има одређене карактеристике које га разликују од конвенционалних веб сервера:

• Потребна је аутентификација корисника
• Све операције се обављају у оквиру текуће сесије
• Способност обављања различитих радњи са датотечним системом
• За сваку везу се користи посебан канал

ФТП клијент је програм који вам омогућава да се повежете са удаљеним сервером преко ФТП-а и извршите потребне радње на њему са елементима система датотека. Клијент може бити претраживач, у чију адресну траку треба да унесете адресу, која је путања до одређеног директоријума или датотеке на удаљеном серверу, у складу са општим блок дијаграмом УРЛ-а:

ftp://user:pass@address:port/directory/file

Међутим, коришћење веб претраживача у овом контексту ће вам омогућити само да прегледате или преузмете датотеке од интереса. Да бисте у потпуности искористили све предности ФТП-а, требало би да користите специјализовани софтвер као клијент.

ФТП аутентификација користи шему корисничког имена/лозинке за одобравање приступа. Корисничко име се шаље серверу командом УСЕР, а лозинка се шаље наредбом ПАСС. Ако сервер прихвати информације које пружа клијент, сервер ће послати позивницу клијенту и сесија почиње. Корисници могу, ако сервер подржава ову функцију, да се пријаве без давања акредитива, али сервер може одобрити само ограничен приступ за такве сесије.

Хост који пружа ФТП услугу може да обезбеди анонимни ФТП приступ. Корисници се обично пријављују са "анонимним" (можда се разликују велика и мала слова на неким ФТП серверима) као њиховим корисничким именом. Иако се од корисника обично тражи да унесу своју адресу е-поште уместо лозинке, верификација се заправо не врши. Многи ФТП хостови који обезбеђују ажурирања софтвера подржавају анонимни приступ.

Дијаграм протокола

Интеракција клијент-сервер током ФТП везе може се визуелно приказати на следећи начин:

Сецуре ФТП

ФТП првобитно није требало да буде безбедан, јер је био намењен за комуникацију између више војних објеката и агенција. Али са развојем и ширењем Интернета, опасност од неовлашћеног приступа се вишеструко повећала. Постојала је потреба да се сервери заштите од разних врста напада. У мају 1999., аутори РФЦ 2577 сумирали су рањивости у следећу листу проблема:

• Скривени напади (напади одбијања)
• Лажни напади
• Напади грубе силе
• Хватање пакета, њушкање
• Порт крађа

Обични ФТП нема могућност преноса података у шифрованом облику, услед чега нападачи могу лако и лако да пресретну корисничка имена, лозинке, команде и друге информације. Уобичајено решење овог проблема је коришћење „безбедних“, ТЛС-заштићених верзија рањивог протокола (ФТПС) или другог, безбеднијег протокола, као што је СФТП/СЦП, који је обезбеђен са већином имплементација Сецуре Схелл протокола.

ФТПС

ФТПС (ФТП + ССЛ) је проширење стандардног протокола за пренос датотека које својој основној функционалности додаје креирање шифрованих сесија коришћењем ССЛ (Сецуре Соцкетс Лаиер) протокола. Данас заштиту обезбеђује његов напреднији аналогни ТЛС (Транспорт Лаиер Сецурити).

ССЛ

ССЛ протокол је предложио Нетсцапе Цоммуницатионс 1996. године како би се осигурала сигурност и приватност интернетских веза. Протокол подржава аутентификацију клијента и сервера, независан је од апликације и транспарентан је за ХТТП, ФТП и Телнет протоколе.

ССЛ Хандсхаке протокол се састоји од две фазе: аутентификација сервера и опциона аутентификација клијента. У првој фази, сервер одговара на захтев клијента слањем свог сертификата и параметара шифровања. Клијент затим генерише главни кључ, шифрује га јавним кључем сервера и шаље га серверу. Сервер дешифрује главни кључ својим приватним кључем и аутентификује се клијенту враћањем поруке потврђене главним кључем клијента.

Накнадни подаци се шифрују и аутентификују помоћу кључева изведених из овог главног кључа. У другом кораку, који је опциони, сервер шаље захтев клијенту, а клијент се аутентификује серверу враћањем захтева са сопственим дигиталним потписом и сертификатом јавног кључа.

ССЛ подржава различите криптографске алгоритме. Приликом успостављања комуникације користи се криптосистем РСА јавног кључа. Након размене кључева, користи се много различитих шифри: РЦ2, РЦ4, ИДЕА, ДЕС и ТриплеДЕС. Такође се користи МД5 – алгоритам за креирање сажетка поруке. Синтакса за сертификате јавног кључа је описана у Кс.509.

Једна од важних предности ССЛ-а је његова потпуна независност софтвера од платформе. Протокол је развијен на принципима преносивости, а идеологија његове конструкције не зависи од апликација у којима се користи. Поред тога, такође је важно да други протоколи могу бити транспарентно прекривени ССЛ протоколом; било да додатно повећа степен заштите циљних токова информација, или да прилагоди криптографске могућности ССЛ-а за неки други, добро дефинисан задатак.

ССЛ веза

Безбедан канал који обезбеђује ССЛ има три главна својства:

• Канал је приватан. Шифровање се користи за све поруке након једноставног дијалога који служи за одређивање тајног кључа.
• Канал је аутентификован. Серверска страна разговора је увек аутентификована, док је страна клијента опционо потврђена.
• Канал је поуздан. Пренос порука укључује проверу интегритета (користећи МАЦ).

Карактеристике ФТПС-а

Постоје две имплементације ФТПС-а које користе различите методе обезбеђења:

• Имплицитни метод укључује коришћење стандардног ССЛ протокола за успостављање сесије пре слања података, што, заузврат, нарушава компатибилност са редовним ФТП клијентима и серверима. За компатибилност са клијентима који не подржавају ФТПС, ТЦП порт 990 се користи за контролну везу, а 989 ​​се користи за пренос података. Ово задржава стандардни порт 21 за ФТП протокол. Овај метод се сматра застарелим.
• Експлицитно је много погодније, јер користи стандардне ФТП команде, али шифрује податке када одговара, што вам омогућава да користите исту контролну везу и за ФТП и за ФТПС. Клијент мора експлицитно да захтева сигуран пренос података са сервера, а затим да одобри метод шифровања. Ако клијент не захтева безбедан пренос, ФТПС сервер има право да одржи или затвори небезбедну везу. У РФЦ 2228 додат је механизам преговарања о аутентификацији и безбедности података који укључује нову ФТП АУТХ команду. Иако овај стандард не дефинише експлицитно сигурносне механизме, наводи да безбедну везу мора да покрене клијент користећи алгоритам описан изнад. Ако сервер не подржава безбедне везе, треба да се врати шифра грешке 504, ФТПС клијенти могу да добију информације о безбедносним протоколима које сервер подржава помоћу ФЕАТ команде, међутим, сервер није дужан да открије на којим нивоима безбедности. подржава. Најчешће ФТПС команде су АУТХ ТЛС и АУТХ ССЛ, које обезбеђују ТЛС и ССЛ безбедност, респективно.

СФТП

СФТП (Сецуре Филе Трансфер Протоцол) је протокол за пренос датотека слоја апликације који ради на врху безбедног канала. Не треба мешати са (Симпле Филе Трансфер Протоцол), који има исту скраћеницу. Ако је ФТПС једноставно проширење ФТП-а, онда је СФТП посебан и неповезан протокол који користи ССХ (Сецуре Схелл) као своју основу.

secure Схелл

Протокол је развила једна од ИЕТФ група под називом Сецсх. Радна документација за нови СФТП протокол није постала званични стандард, већ је почела да се активно користи за развој апликација. Након тога је објављено шест верзија протокола. Међутим, постепено повећање функционалности у њему довело је до тога да је 14. августа 2006. одлучено да се прекине рад на развоју протокола због завршетка главног задатка пројекта (развој ССХ) и недостатак довољног стручног нивоа за прелазак на развој пуноправног протокола удаљеног система датотека.

ССХ је мрежни протокол који омогућава даљинску контролу оперативног система и тунелирање ТЦП веза (на пример, за пренос датотека). По функционалности је сличан Телнет и рлогин протоколима, али, за разлику од њих, шифрује сав саобраћај, укључујући и пренете лозинке. ССХ омогућава избор различитих алгоритама за шифровање. ССХ клијенти и ССХ сервери су доступни за већину мрежних оперативних система.

ССХ вам омогућава да безбедно пренесете скоро сваки други мрежни протокол у несигурном окружењу. Дакле, не можете само да радите на даљину на рачунару преко командне шкољке, већ и да преносите аудио ток или видео (на пример, са веб камере) преко шифрованог канала. ССХ такође може да користи компресију пренетих података за накнадно шифровање, што је згодно, на пример, за даљинско покретање Кс ВиндовСистем клијената.

Прву верзију протокола, ССХ-1, развио је 1995. истраживач Тату Улонен са Технолошког универзитета у Хелсинкију (Финска). ССХ-1 је написан да обезбеди већу приватност од рлогин, телнет и рсх протокола. Године 1996. развијена је сигурнија верзија протокола, ССХ-2, која је некомпатибилна са ССХ-1. Протокол је добио још већу популарност и до 2000. године имао је око два милиона корисника. Тренутно, термин „ССХ“ обично значи ССХ-2, јер Прва верзија протокола се сада практично не користи због значајних недостатака. Протокол је 2006. године одобрила радна група ИЕТФ-а као Интернет стандард.

Постоје две уобичајене имплементације ССХ-а: приватна комерцијална и бесплатна опен соурце. Бесплатна имплементација се зове ОпенССХ. До 2006. године, 80% рачунара на Интернету користило је ОпенССХ. Власничка имплементација је развијена од стране ССХ Цоммуницатионс Сецурити, подружнице у потпуном власништву Тецтиа Цорпоратион, и бесплатна је за некомерцијалну употребу. Ове имплементације садрже скоро исти скуп команди.

ССХ-2 протокол, за разлику од телнет протокола, отпоран је на нападе прислушкивања саобраћаја („њушкање“), али није отпоран на нападе човека у средини. ССХ-2 протокол је такође отпоран на нападе отмице сесије, пошто је немогуће придружити се или отети већ успостављену сесију.

Да би спречио нападе човека у средини приликом повезивања са хостом чији кључ клијенту још није познат, клијентски софтвер показује кориснику „отисак прста кључа“. Препоручује се да пажљиво проверите „снимку кључа“ коју приказује клијентски софтвер са снимком кључа сервера, по могућности добијеном путем поузданих канала комуникације или лично.

ССХ подршка је доступна на свим системима сличним УНИКС-у, а већина има ссх клијента и сервера као стандардне услужне програме. Постоји много имплементација ССХ клијената за не-УНИКС ОС. Протокол је стекао велику популарност након широког развоја анализатора саобраћаја и метода за ометање рада локалних мрежа, као алтернативно решење несигурном Телнет протоколу за управљање важним чворовима.

Комуникација користећи ССХ

Да бисте радили преко ССХ-а, потребан вам је ССХ сервер и ССХ клијент. Сервер ослушкује везе са клијентских машина и, када се веза успостави, врши аутентификацију, након чега почиње да сервисира клијента. Клијент се користи за пријаву на удаљену машину и извршавање команди.

Поређење са ФТПС-ом

Главна ствар која разликује СФТП од стандардног ФТП-а и ФТПС-а је да СФТП шифрује апсолутно све команде, корисничка имена, лозинке и друге поверљиве информације.

И ФТПС и СФТП протоколи користе комбинацију асиметричних алгоритама (РСА, ДСА), симетричних алгоритама (ДЕС/3ДЕС, АЕС, Твхофисх, итд.), као и алгоритама за размену кључева. За аутентификацију, ФТПС (или да будемо прецизнији, ССЛ/ТЛС преко ФТП-а) користи Кс.509 сертификате, док СФТП (ССХ протокол) користи ССХ кључеве.

Кс.509 сертификати укључују јавни кључ и неке информације о сертификату власника. Ове информације омогућавају, с друге стране, да се провери интегритет самог сертификата, аутентичност и власник сертификата. Кс.509 сертификати имају одговарајући приватни кључ, који се обично чува одвојено од сертификата из безбедносних разлога.

ССХ кључ садржи само јавни кључ (одговарајући приватни кључ се чува одвојено). Не садржи никакве информације о власнику кључа. Неке ССХ имплементације користе Кс.509 сертификате за аутентификацију, али оне заправо не верификују цео ланац сертификата – користи се само јавни кључ (што такву аутентификацију чини некомплетном).

Закључак

ФТП протокол несумњиво и даље игра важну улогу у складиштењу и дистрибуцији информација на мрежи упркос својој старости. То је згодан, мултифункционалан и стандардизован протокол. На њеној основи изграђене су многе архиве датотека без којих технички рад не би био тако ефикасан. Поред тога, лако се подешава, а серверски и клијентски програми постоје за скоро све актуелне и не тако актуелне платформе.

Заузврат, његове заштићене верзије решавају проблем поверљивости ускладиштених и пренетих података у савременом свету. Оба нова протокола имају своје предности и недостатке и имају мало различите улоге. У оним областима где је потребна архива датотека, пожељно је користити ФТПС, посебно ако је класични ФТП већ коришћен. СФТП је ређи због своје некомпатибилности са старим протоколом, али је сигурнији и има више функционалности, пошто је део система за даљинско управљање.

Списак извора

• Апстракт „ФТП протокол. Опште информације и карактеристике"
• Сажетак „ССХ, ЦМИП, Телнет протоколи“
• Извештај „ССЛ/ТЛС“

Извор: ввв.хабр.цом