Ubuntu-fr

systane

Serveur ftp (non root)

Bonjour à tous !

Je me lance tout doucement dans la mise en place d'un serveur ftp. Des amis m'avaient parlé de GLFTPD comme le truc l33t, j'ai donc tenté de l'installer ! Tout se passe bien hormis que je ne trouvais pas comment lancer le service en root puis le faire switcher sur un utilisateur avec moins de droits (comme nous pouvons le faire avec nginx, lighttpd, openvpn).

Cependant, j'ai pu remarquer que d'autres serveurs ftp comme vsftpd ne semblaient pas non plus proposer cette option. Comment cela se fait t-il ? Il y a un raison technique ?

Merci par avance !

Systane,

tiramiseb

Re : Serveur ftp (non root)

Salut,

Dans le cas du FTP, on doit donner un identifiant pour un utilisateurs présent sur le système. Ensuite, le serveur FTP se forke et change d'utilisateur afin de nous donner accès à nos données avec les bons droits. Et le seul utilisateur capable de "changer d'utilisateur" sans aucun autre prérequis est root...

---

Sébastien Maccagnoni - https://www.maccagnoni.eu - https://www.domotego.com

tiramiseb

Re : Serveur ftp (non root)

... cela étant dit, vsftpd permet de faire ce que tu demandes, mais c'est vivement déconseillé. Voir https://security.appspot.com/vsftpd/vsftpd_conf.html, section "run_as_launching_user".

---

Sébastien Maccagnoni - https://www.maccagnoni.eu - https://www.domotego.com

systane

Re : Serveur ftp (non root)

Hmmm effectivement, je vois que c'est déconseillé ! Merci à toi pour l'info ! Si j'ai bien compris, l'idée est que l'utilisateur peut dès lors accéder à tous les fichiers/dossiers auxquelles il aurait accès avec ses droits. Donc si les permissions sont un peu mal foutues, le gars peut accéder à des fichiers/dossiers sensibles ?

Par contre, si on découvre une faille dans mon glftpd, la personne pourrait réussir à devenir root sur mon système ... C'est un peu flippant comme concept ^^

Dernière modification par systane (Le 29/11/2015, à 22:56)

tiramiseb

Re : Serveur ftp (non root)

Donc si les permissions sont un peu mal foutues, le gars peut accéder à des fichiers/dossiers sensibles ?

Ben oui mais ça c'est ta faute, pas celle du serveur FTP, hein. Que le gars soit en FTP ou qu'il soit localement sur la machine, si tu gères mal tes permissions c'est fichu...

si on découvre une faille dans mon glftpd, la personne pourrait réussir à devenir root sur mon système

C'est pour ça qu'il existe par exemple vsFTPd, pour "very secure FTP daemon"...
Et rappelons que FTP est un protocole qui date de 1971, les problématiques n'étaient pas les mêmes à l'époque.
Tu veux du transfert de fichiers mieux sécurisé ? N'utilise pas FTP.

---

Sébastien Maccagnoni - https://www.maccagnoni.eu - https://www.domotego.com

systane

Re : Serveur ftp (non root)

Effectivement ! Merci pour les infos ;-)