SFTP – En sikrere metode for filoverføring

Hensikten med denne artikkelen er å gi en innføring i bruk av SFTP (fildeling over SSH protokollen) i stedet for vanlig FTP eller FTPS.

Krav
Linux maskin som kjører OpenSSH over versjon 4.8p1

Prøvd på:
Slackware 12
OpenSSH 5x

Bakgrunn
Filserveren min har i en periode kjørt ProFTPd som verktøy for å dele filer. Etter en liten stund ble loggen flere MB stor bare på grunn av innbruddsforsøk. Dette ønsket jeg å gjøre noe med. Jeg kjørte allerede Denyhosts på maskinen som virket meget bra til å hindre bruteforce angrep mot SSH, og undersøkte muligheten for å bruke samme programmet for å stoppe FTP angrepene. Dette fikk jeg ikke til å virke.
Jeg visste om muligheten til å overføre filer via SFTP, men problemet der var at brukeren hadde mulighet til å browse hele filstrukturen. Løsningen for å unngå blir presentert her!

Løsning
Forutsetning:
En gruppe brukere skal ha tilgang til en mappestruktur, i dette eksempelet skal brukeren sftp-user i gruppen sftp-group ha tilgang til område /data/media

Lag brukeren med kommandoen
$ adduser sftp-user

Trykk enter for å velge default value på alle alternativene unntatt “Initial group”. Der skal du skrive inn sftp-group

Når brukeren er opprettet må du endre eierskap på mappen du ønsker å dele til root.
$ chown root:root /data/media

Nå må du endre hjemmemappen til brukeren. Denne setter vi til /
$ usermod -d / sftp-user
Dersom vi ikke endre hjemmemappen til / vil klienten prøve å finne /home/sftp-user under /data/media
( /data/media/home/sftp-user eksisterer jo ikke så da vil du ikke kunne logge inn)

Det siste vi må gjøre er å redigere config filen sshd_config. Jeg bruker tekstredigeringsverktøyet pico til dette
$ su
$ pico /etc/ssh/sshd_config

Kommenter ut linjen
#Subsystem sftp /usr/libexec/sftp-server
og erstatt den med
Subsystem sftp internal-sftp

Deretter legger du til denne linjen på slutten av config filen
Match group sftp-group
ChrootDirectory /data/media
X11Forwarding no
AllowTcpForwarding no
ForceCommand internal-sftp

Da skal du være ferdig! Husk å restarte SSH deamonen før du prøver å logge inn via en FTP klien som støtter SFTP

ver 1.0

http://www.debian-administration.org/articles/590

http://undeadly.org/cgi?action=article&sid=20080220110039