paunang salita

Isang linggo lang ang nakalipas ay nagsusulat ako ng isang sanaysay sa paksang ipinahiwatig sa pamagat at nahaharap sa katotohanan na, sabihin nating, walang gaanong impormasyong pang-edukasyon sa Internet. Karamihan sa mga tuyong katotohanan at mga tagubilin sa pag-setup. Samakatuwid, nagpasya akong bahagyang iwasto ang teksto at i-post ito bilang isang artikulo.

Ano ang FTP

Ang FTP (File Transfer Protocol) ay isang protocol para sa paglilipat ng mga file sa isang network. Ito ay isa sa mga pangunahing protocol ng Ethernet. Lumitaw noong 1971 at unang nagtrabaho sa mga network ng DARPA. Sa kasalukuyan, tulad ng HTTP, ang paglilipat ng file ay batay sa isang modelo na binubuo ng isang hanay ng mga protocol ng TCP/IP (Transmission Control Protocol/Internet Protocol). Tinukoy sa RFC 959.

Ang protocol ay tumutukoy sa mga sumusunod:

Paano isasagawa ang pagsusuri ng error?
Paraan ng packaging ng data (kung ginamit ang packaging)
Paano ipinapahiwatig ng nagpapadalang device na natapos na nito ang isang mensahe?
Paano ipinapahiwatig ng receiving device na nakatanggap ito ng mensahe?

Komunikasyon sa pagitan ng kliyente at server

Tingnan natin ang mga prosesong nagaganap sa panahon ng operasyon ng FTP. Ang koneksyon ay pinasimulan ng protocol interpreter ng user. Ang palitan ay kinokontrol sa pamamagitan ng isang control channel sa pamantayan ng TELNET. Ang mga FTP command ay nabuo ng protocol interpreter ng user at ipinadala sa server. Ang mga tugon ng server ay ipinapadala din sa user sa pamamagitan ng control channel. Sa pangkalahatan, ang gumagamit ay may kakayahang magtatag ng pakikipag-ugnayan sa interpreter ng protocol ng server at sa iba pang paraan maliban sa interpreter ng gumagamit.

Ang pangunahing tampok ng FTP ay gumagamit ito ng dalawahang koneksyon. Ang isa sa mga ito ay ginagamit upang magpadala ng mga utos sa server at nangyayari bilang default sa pamamagitan ng TCP port 21, na maaaring baguhin. Ang kontrol na koneksyon ay umiiral hangga't ang kliyente ay nakikipag-usap sa server. Dapat na bukas ang control channel kapag naglilipat ng data sa pagitan ng mga makina. Kung sarado ito, hihinto ang paghahatid ng data. Sa pamamagitan ng pangalawa, nangyayari ang direktang paglipat ng data. Nagbubukas ito sa tuwing may nagaganap na paglilipat ng file sa pagitan ng kliyente at server. Kung ang ilang mga file ay inilipat nang sabay-sabay, ang bawat isa sa kanila ay nagbubukas ng sarili nitong transmission channel.

Ang FTP ay maaaring gumana sa aktibo o passive mode, ang pagpili kung saan ay tumutukoy kung paano itinatag ang koneksyon. Sa aktibong mode, ang kliyente ay lumilikha ng isang koneksyon sa kontrol ng TCP sa server at ipinapadala ang IP address nito at isang arbitrary na numero ng port ng kliyente sa server, at pagkatapos ay naghihintay para sa server na magsimula ng isang koneksyon sa TCP sa address at numero ng port na ito. Kung sakaling ang kliyente ay nasa likod ng isang firewall at hindi makatanggap ng isang papasok na koneksyon sa TCP, maaaring gamitin ang passive mode. Sa mode na ito, ginagamit ng kliyente ang control flow para magpadala ng PASV command sa server, at pagkatapos ay natatanggap mula sa server ang IP address at port number nito, na ginagamit ng kliyente upang magbukas ng daloy ng data mula sa arbitrary port nito.

Posibleng mailipat ang data sa ikatlong makina. Sa kasong ito, ang gumagamit ay nag-aayos ng isang control channel na may dalawang server at nag-aayos ng isang direktang channel ng data sa pagitan nila. Ang mga control command ay dumadaan sa user, at ang data ay direktang pumupunta sa pagitan ng mga server.

Kapag nagpapadala ng data sa isang network, maaaring gamitin ang apat na representasyon ng data:

ASCII – ginagamit para sa teksto. Ang data ay, kung kinakailangan, iko-convert mula sa representasyon ng character sa nagpapadalang host sa "eight-bit ASCII" bago ipadala, at (muli, kung kinakailangan) sa representasyon ng character sa tatanggap na host. Sa partikular, binago ang mga bagong linyang character. Bilang resulta, ang mode na ito ay hindi angkop para sa mga file na naglalaman ng higit pa sa simpleng teksto.
Binary mode - ang nagpapadalang device ay nagpapadala ng bawat file byte sa pamamagitan ng byte, at ang tatanggap ay nag-iimbak ng stream ng mga byte kapag natanggap. Ang suporta para sa mode na ito ay inirerekomenda para sa lahat ng pagpapatupad ng FTP.
EBCDIC – ginagamit upang maglipat ng plain text sa pagitan ng mga host sa EBCDIC encoding. Kung hindi, ang mode na ito ay katulad ng ASCII mode.
Lokal na mode - nagbibigay-daan sa dalawang computer na may magkaparehong mga setting na magpadala ng data sa kanilang sariling format nang hindi nagko-convert sa ASCII.

Maaaring isagawa ang paglilipat ng data sa alinman sa tatlong mga mode:

Stream mode - ipinapadala ang data bilang tuluy-tuloy na stream, na nagpapalaya sa FTP mula sa pagsasagawa ng anumang pagproseso. Sa halip, ang lahat ng pagproseso ay ginagawa ng TCP. Ang end-of-file indicator ay hindi kailangan maliban sa paghihiwalay ng data sa mga talaan.
Block mode - Hinahati ng FTP ang data sa ilang mga bloke (block ng header, bilang ng mga byte, field ng data) at pagkatapos ay ipinapadala ang mga ito sa TCP.
Compression mode - ang data ay na-compress gamit ang isang solong algorithm (karaniwan ay sa pamamagitan ng pag-encode ng mga haba ng pagtakbo).

Ang FTP server ay isang server na nagbibigay ng kakayahang gamitin ang File Transfer Protocol. Mayroon itong ilang partikular na tampok na nagpapaiba nito sa mga kumbensyonal na web server:

Kinakailangan ang pagpapatunay ng user
Ang lahat ng mga operasyon ay ginagawa sa loob ng kasalukuyang session
Kakayahang magsagawa ng iba't ibang mga aksyon sa file system
Ang isang hiwalay na channel ay ginagamit para sa bawat koneksyon

Ang FTP client ay isang programa na nagbibigay-daan sa iyong kumonekta sa isang malayuang server sa pamamagitan ng FTP at gampanan din ang mga kinakailangang aksyon dito gamit ang mga elemento ng file system. Ang kliyente ay maaaring isang browser, sa address bar kung saan dapat mong ipasok ang address, na kung saan ay ang landas sa isang partikular na direktoryo o file sa remote server, alinsunod sa pangkalahatang URL block diagram:

ftp://user:pass@address:port/directory/file

Gayunpaman, ang paggamit ng web browser sa kontekstong ito ay magbibigay-daan lamang sa iyo na tingnan o i-download ang mga file ng interes. Upang lubos na mapakinabangan ang lahat ng mga pakinabang ng FTP, dapat mong gamitin ang espesyal na software bilang isang kliyente.

Gumagamit ang FTP authentication ng username/password scheme para magbigay ng access. Ang username ay ipinadala sa server gamit ang USER command, at ang password ay ipinadala kasama ang PASS command. Kung ang impormasyong ibinigay ng kliyente ay tinanggap ng server, pagkatapos ay magpapadala ang server ng imbitasyon sa kliyente at magsisimula ang session. Ang mga gumagamit ay maaaring, kung sinusuportahan ng server ang tampok na ito, mag-log in nang hindi nagbibigay ng mga kredensyal, ngunit ang server ay maaari lamang magbigay ng limitadong pag-access para sa mga naturang session.

Ang host na nagbibigay ng serbisyo ng FTP ay maaaring magbigay ng hindi kilalang FTP access. Karaniwang nagla-log in ang mga user gamit ang "anonymous" (maaaring case sensitive sa ilang FTP server) bilang kanilang username. Bagama't karaniwang hinihiling sa mga user na ibigay ang kanilang email address sa halip na isang password, walang aktwal na ginagawang pag-verify. Maraming FTP host na nagbibigay ng mga update sa software ang sumusuporta sa hindi kilalang access.

Diagram ng protocol

Ang pakikipag-ugnayan ng client-server sa panahon ng isang FTP na koneksyon ay maaaring makita tulad ng sumusunod:

Ligtas na FTP

Ang FTP ay hindi orihinal na inilaan upang maging secure, dahil nilayon ito para sa mga komunikasyon sa pagitan ng maraming instalasyon at ahensya ng militar. Ngunit sa pag-unlad at pagkalat ng Internet, ang panganib ng hindi awtorisadong pag-access ay tumaas nang maraming beses. Kailangang protektahan ang mga server mula sa iba't ibang uri ng pag-atake. Noong Mayo 1999, ibinuod ng mga may-akda ng RFC 2577 ang mga kahinaan sa sumusunod na listahan ng mga isyu:

Mga nakatagong pag-atake (mga bounce attack)
Spoof attacks
Mga pag-atake ng brute force
Pagkuha ng pakete, pagsinghot
Pagnanakaw ng port

Ang regular na FTP ay walang kakayahang maglipat ng data sa naka-encrypt na anyo, bilang isang resulta kung saan ang mga pangalan ng user, password, utos at iba pang impormasyon ay madaling at madaling maharang ng mga umaatake. Ang karaniwang solusyon sa problemang ito ay ang paggamit ng "secure", TLS-protected na bersyon ng vulnerable protocol (FTPS) o isa pa, mas secure na protocol, gaya ng SFTP/SCP, na ibinigay kasama ng karamihan sa mga pagpapatupad ng Secure Shell protocol.

FTPS

Ang FTPS (FTP + SSL) ay isang extension ng karaniwang file transfer protocol na nagdaragdag sa pangunahing functionality nito sa paglikha ng mga naka-encrypt na session gamit ang SSL (Secure Sockets Layer) protocol. Ngayon, ang proteksyon ay ibinibigay ng mas advanced na analogue na TLS (Transport Layer Security).

SSL

Ang SSL protocol ay iminungkahi ng Netscape Communications noong 1996 upang matiyak ang seguridad at privacy ng mga koneksyon sa Internet. Sinusuportahan ng protocol ang pagpapatotoo ng kliyente at server, independyente ang application, at transparent sa mga protocol ng HTTP, FTP, at Telnet.

Ang SSL Handshake protocol ay binubuo ng dalawang yugto: server authentication at opsyonal na client authentication. Sa unang yugto, tumugon ang server sa kahilingan ng kliyente sa pamamagitan ng pagpapadala ng mga parameter ng certificate at encryption nito. Ang kliyente ay bubuo ng master key, ine-encrypt ito gamit ang pampublikong susi ng server, at ipapadala ito sa server. Ang server ay nagde-decrypt ng master key gamit ang pribadong key nito at nagpapatotoo sa sarili nito sa kliyente sa pamamagitan ng pagbabalik ng mensaheng pinatotohanan ng master key ng kliyente.

Ang kasunod na data ay naka-encrypt at na-authenticate gamit ang mga key na nagmula sa master key na ito. Sa pangalawang hakbang, na opsyonal, nagpapadala ang server ng kahilingan sa kliyente, at pinapatotohanan ng kliyente ang sarili nito sa server sa pamamagitan ng pagbabalik ng kahilingan gamit ang sarili nitong digital signature at public key certificate.

Sinusuportahan ng SSL ang iba't ibang cryptographic algorithm. Sa panahon ng pagtatatag ng komunikasyon, ginagamit ang RSA public key cryptosystem. Pagkatapos ng key exchange, maraming iba't ibang cipher ang ginagamit: RC2, RC4, IDEA, DES at TripleDES. Ginagamit din ang MD5 - isang algorithm para sa paggawa ng message digest. Ang syntax para sa mga pampublikong key certificate ay inilarawan sa X.509.

Ang isa sa mga mahalagang bentahe ng SSL ay ang kumpletong kalayaan ng software-platform. Ang protocol ay binuo sa mga prinsipyo ng portability, at ang ideolohiya ng pagbuo nito ay hindi nakasalalay sa mga aplikasyon kung saan ito ginagamit. Bilang karagdagan, mahalaga din na ang ibang mga protocol ay maaaring malinaw na ma-overlay sa ibabaw ng SSL protocol; alinman upang higit pang pataasin ang antas ng proteksyon ng mga target na daloy ng impormasyon, o upang iakma ang mga kakayahan sa cryptographic ng SSL para sa ilang iba pa, mahusay na tinukoy na gawain.

Koneksyon ng SSL

Ang secure na channel na ibinigay ng SSL ay may tatlong pangunahing katangian:

Ang channel ay pribado. Ang pag-encrypt ay ginagamit para sa lahat ng mga mensahe pagkatapos ng isang simpleng dialogue na nagsisilbi upang matukoy ang sikretong key.
Ang channel ay napatotohanan. Ang panig ng server ng pag-uusap ay palaging napatotohanan, habang ang panig ng kliyente ay opsyonal na napatotohanan.
Ang channel ay maaasahan. Kasama sa transportasyon ng mensahe ang pagsusuri ng integridad (gamit ang MAC).

Mga tampok ng FTPS

Mayroong dalawang pagpapatupad ng FTPS, gamit ang iba't ibang paraan ng pagbibigay ng seguridad:

Ang implicit na paraan ay nagsasangkot ng paggamit ng karaniwang SSL protocol upang magtatag ng isang session bago magpadala ng data, na, sa turn, ay sumisira sa pagiging tugma sa mga regular na FTP client at server. Para sa backward compatibility sa mga client na hindi sumusuporta sa FTPS, ginagamit ang TCP port 990 para sa control connection at ang 989 ay ginagamit para sa paglilipat ng data. Pinapanatili nito ang karaniwang port 21 para sa FTP protocol. Ang pamamaraang ito ay itinuturing na hindi na ginagamit.
Ang tahasan ay mas maginhawa, dahil gumagamit ito ng mga karaniwang FTP na utos, ngunit ini-encrypt ang data kapag tumutugon, na nagpapahintulot sa iyo na gumamit ng parehong kontrol na koneksyon para sa parehong FTP at FTPS. Ang kliyente ay dapat na tahasang humiling ng secure na paglipat ng data mula sa server, at pagkatapos ay aprubahan ang paraan ng pag-encrypt. Kung ang kliyente ay hindi humiling ng isang secure na paglipat, ang FTPS server ay may karapatan na panatilihin o isara ang hindi secure na koneksyon. Isang authentication at data security negotiation mechanism ang idinagdag sa ilalim ng RFC 2228 na kinabibilangan ng bagong FTP AUTH command. Bagama't hindi malinaw na tinukoy ng pamantayang ito ang mga mekanismo ng seguridad, tinutukoy nito na ang isang secure na koneksyon ay dapat simulan ng kliyente gamit ang algorithm na inilarawan sa itaas. Kung ang mga secure na koneksyon ay hindi suportado ng server, isang error code na 504 ang dapat ibalik. Ang mga kliyente ng FTPS ay maaaring makakuha ng impormasyon tungkol sa mga protocol ng seguridad na sinusuportahan ng server gamit ang FEAT command, gayunpaman, ang server ay hindi kinakailangang ibunyag kung anong mga antas ng seguridad ito sumusuporta. Ang pinakakaraniwang mga utos ng FTPS ay ang AUTH TLS at AUTH SSL, na nagbibigay ng seguridad ng TLS at SSL, ayon sa pagkakabanggit.

SFTP

Ang SFTP (Secure File Transfer Protocol) ay isang application layer file transfer protocol na tumatakbo sa ibabaw ng isang secure na channel. Hindi dapat malito sa (Simple File Transfer Protocol), na may parehong pagdadaglat. Kung ang FTPS ay isang extension lamang ng FTP, ang SFTP ay isang hiwalay at hindi nauugnay na protocol na gumagamit ng SSH (Secure Shell) bilang batayan nito.

Secure Shell

Ang protocol ay binuo ng isa sa mga grupo ng IETF na tinatawag na Secsh. Ang gumaganang dokumentasyon para sa bagong SFTP protocol ay hindi naging isang opisyal na pamantayan, ngunit nagsimulang aktibong gamitin para sa pagbuo ng application. Kasunod nito, anim na bersyon ng protocol ang inilabas. Gayunpaman, ang unti-unting pagtaas sa pag-andar dito ay humantong sa katotohanan na noong Agosto 14, 2006, napagpasyahan na ihinto ang pagtatrabaho sa pagbuo ng protocol dahil sa pagkumpleto ng pangunahing gawain ng proyekto (SSH development) at ang kakulangan ng sapat na antas ng eksperto upang magpatuloy sa pagbuo ng isang ganap na remote file system protocol .

Ang SSH ay isang network protocol na nagbibigay-daan sa remote control ng operating system at pag-tunnel ng mga koneksyon sa TCP (halimbawa, para sa paglilipat ng file). Katulad sa pag-andar sa mga protocol ng Telnet at rlogin, ngunit, hindi katulad ng mga ito, ini-encrypt nito ang lahat ng trapiko, kabilang ang mga ipinadalang password. Pinapayagan ng SSH ang isang pagpipilian ng iba't ibang mga algorithm ng pag-encrypt. Ang mga kliyente ng SSH at mga server ng SSH ay magagamit para sa karamihan ng mga operating system ng network.

Pinapayagan ka ng SSH na ligtas na ilipat ang halos anumang iba pang network protocol sa isang hindi secure na kapaligiran. Kaya, hindi ka lamang makakapagtrabaho nang malayuan sa iyong computer sa pamamagitan ng command shell, ngunit maaari ring magpadala ng audio stream o video (halimbawa, mula sa isang webcam) sa isang naka-encrypt na channel. Ang SSH ay maaari ding gumamit ng compression ng ipinadalang data para sa kasunod na pag-encrypt, na maginhawa, halimbawa, para sa malayuang paglulunsad ng mga kliyenteng X WindowSystem.

Ang unang bersyon ng protocol, SSH-1, ay binuo noong 1995 ng mananaliksik na si Tatu Ulönen mula sa Helsinki University of Technology (Finland). Ang SSH-1 ay isinulat upang magbigay ng higit na privacy kaysa sa rlogin, telnet, at rsh na mga protocol. Noong 1996, isang mas ligtas na bersyon ng protocol, ang SSH-2, ay binuo, na hindi tugma sa SSH-1. Ang protocol ay nakakuha ng higit na katanyagan, at noong 2000 mayroon itong humigit-kumulang dalawang milyong mga gumagamit. Sa kasalukuyan, ang terminong "SSH" ay karaniwang nangangahulugang SSH-2, dahil Ang unang bersyon ng protocol ay halos hindi na ginagamit dahil sa mga makabuluhang pagkukulang. Noong 2006, ang protocol ay inaprubahan ng IETF working group bilang pamantayan sa Internet.

Mayroong dalawang karaniwang pagpapatupad ng SSH: pribadong komersyal at libreng open source. Ang libreng pagpapatupad ay tinatawag na OpenSSH. Noong 2006, 80% ng mga computer sa Internet ang gumamit ng OpenSSH. Ang pagmamay-ari na pagpapatupad ay binuo ng SSH Communications Security, isang ganap na pag-aari na subsidiary ng Tectia Corporation, at libre para sa hindi pangkomersyal na paggamit. Ang mga pagpapatupad na ito ay naglalaman ng halos parehong hanay ng mga utos.

Ang SSH-2 protocol, hindi katulad ng telnet protocol, ay lumalaban sa traffic eavesdropping attacks (“sniffing”), ngunit hindi lumalaban sa man-in-the-middle attacks. Ang protocol ng SSH-2 ay lumalaban din sa mga pag-atake ng pag-hijack ng session, dahil imposibleng sumali o ma-hijack ang isang naitatag nang session.

Upang maiwasan ang mga man-in-the-middle na pag-atake kapag kumokonekta sa isang host na ang key ay hindi pa alam ng kliyente, ipinapakita ng client software ang user ng isang "key fingerprint". Inirerekomenda na maingat na suriin ang "key snapshot" na ipinapakita ng client software gamit ang server key snapshot, mas mainam na makuha sa pamamagitan ng maaasahang mga channel ng komunikasyon o nang personal.

Ang suporta sa SSH ay magagamit sa lahat ng mga sistemang tulad ng UNIX, at karamihan ay may ssh client at server bilang mga karaniwang kagamitan. Maraming mga pagpapatupad ng mga kliyente ng SSH para sa mga non-UNIX OS. Ang protocol ay nakakuha ng mahusay na katanyagan pagkatapos ng malawakang pag-unlad ng mga traffic analyzer at mga pamamaraan para sa pag-abala sa operasyon ng mga lokal na network, bilang isang alternatibong solusyon sa hindi secure na Telnet protocol para sa pamamahala ng mga mahahalagang node.

Komunikasyon gamit ang SSH

Upang gumana sa pamamagitan ng SSH, kailangan mo ng isang SSH server at isang SSH client. Ang server ay nakikinig para sa mga koneksyon mula sa mga makina ng kliyente at, kapag ang isang koneksyon ay naitatag, nagsasagawa ng pagpapatunay, pagkatapos nito ay magsisimulang magsilbi sa kliyente. Ginagamit ang kliyente upang mag-log in sa isang malayuang makina at magsagawa ng mga utos.

Paghahambing sa FTPS

Ang pangunahing bagay na nagpapaiba sa SFTP mula sa karaniwang FTP at FTPS ay ang SFTP ay ganap na naka-encrypt ng lahat ng mga command, username, password at iba pang kumpidensyal na impormasyon.

Ang parehong FTPS at SFTP protocol ay gumagamit ng kumbinasyon ng mga asymmetric algorithm (RSA, DSA), simetriko algorithm (DES/3DES, AES, Twhofish, atbp.), pati na rin ang isang key exchange algorithm. Para sa pagpapatotoo, ang FTPS (o mas tumpak, SSL/TLS sa FTP) ay gumagamit ng mga X.509 na certificate, habang ang SFTP (SSH protocol) ay gumagamit ng mga SSH key.

Kasama sa mga sertipiko ng X.509 ang isang pampublikong susi at ilang impormasyon tungkol sa sertipiko ng may-ari. Ang impormasyong ito ay nagpapahintulot, sa kabilang banda, na i-verify ang integridad ng certificate mismo, ang pagiging tunay at ang may-ari ng certificate. Ang mga X.509 na certificate ay may kaukulang pribadong key, na kadalasang nakaimbak nang hiwalay sa certificate para sa mga kadahilanang pangseguridad.

Ang SSH key ay naglalaman lamang ng pampublikong susi (ang kaukulang pribadong key ay nakaimbak nang hiwalay). Hindi ito naglalaman ng anumang impormasyon tungkol sa may-ari ng susi. Gumagamit ang ilang mga pagpapatupad ng SSH ng mga X.509 na certificate para sa pagpapatotoo, ngunit hindi talaga nila nabe-verify ang buong chain ng certificate—ang pampublikong key lang ang ginagamit (na ginagawang hindi kumpleto ang naturang pagpapatotoo).

Konklusyon

Ang FTP protocol ay walang alinlangan na gumaganap pa rin ng isang mahalagang papel sa pag-iimbak at pamamahagi ng impormasyon sa network sa kabila ng kanyang kagalang-galang na edad. Ito ay isang maginhawa, multifunctional at standardized na protocol. Maraming mga archive ng file ang binuo batay dito, kung wala ang teknikal na gawain ay hindi magiging epektibo. Bilang karagdagan, ito ay madaling i-set up, at umiiral ang mga programa ng server at kliyente para sa halos lahat ng kasalukuyan at hindi masyadong kasalukuyang mga platform.

Kaugnay nito, nilulutas ng mga protektadong bersyon nito ang problema sa pagiging kumpidensyal ng mga nakaimbak at ipinadalang data sa modernong mundo. Ang parehong mga bagong protocol ay may kanilang mga kalamangan at kahinaan at nagsisilbing bahagyang magkaibang mga tungkulin. Sa mga lugar kung saan kailangan ang isang file archive, mas mainam na gumamit ng FTPS, lalo na kung ang classic na FTP ay nagamit na doon dati. Ang SFTP ay hindi gaanong karaniwan dahil sa hindi pagkakatugma nito sa lumang protocol, ngunit mas secure ito at may higit na functionality, dahil bahagi ito ng remote na sistema ng pamamahala.

Listahan ng mga mapagkukunan

Pinagmulan: www.habr.com

Mga protocol ng SFTP at FTPS