Comment installer un serveur FTP sécurisé <author> Christopher Klaus <cklaus@shadow.net> <date>26 Juillet 94 <abstract> Ce document pourra intéresser tous ceux qui envisagent d'installer un serveur FTP anonyme sur leur système Linux. Écrit par Christopher Klaus, il est posté régulièrement dans le groupes de nouvelles <tt/comp.security.misc/ sous le titre ``computer-security/anonymous-ftp FAQ''. Traduction et adaptation par Michel Billaud <billaud@labri.u-bordeaux.fr> (Septembre 1995). <!-- <toc> --> <!-- This information is important to most people who are considering setting up an anonymous FTP site with their Linux system. It was written by Chistopher Klaus and is posted to the comp.security.misc news group. I am submitting this to the doc directory of sunsite (or so I hope that will be its home) because many people will check there first before looking elsewhere. From: cklaus@anshar.shadow.net (Christopher Klaus) Subject: computer-security/anonymous-ftp FAQ Keywords: security anonymous ftp Lines: 575 Reply-To: cklaus@shadow.net Organization: ISS, Inc. Date: Tue, 26 Jul 1994 23:10:55 GMT Archive-name: computer-security/anonymous-ftp-faq Post-Frequency: monthly Last-modified: 1994/7/24 Version: 1.4 How to set up a Secure Anonymous FTP Site --> <!-- The following is a FAQ on setting up a secure FTP Site. FTP sites are known for much abuse by transferring illegal files. They also open many oppurtunities for intruders to gain access via misconfigured setups. And lastly many versions of ftp servers have had security holes. This FAQ is intended to clean up this abuse by allowing administrators to go through this check list of steps to make sure their FTP is correctly configured and that they are running the most current ftp daemon. --> <sect> Introduction <p> Ce qui suit est une liste de questions-réponses sur l'installation d'un serveur FTP sécurisé. Il est bien connu que les serveurs FTP sont utilisés pour effectuer des transferts illégaux de fichiers. Un serveur FTP mal configuré offre beaucoup d'opportunités d'accès à des pirates. Enfin, beaucoup de serveurs présentent des brêches de sécurité. Cette FAQ (liste de questions fréquentes) est destinée à limiter les dégâts en donnant aux administrateurs une liste de points à contrôler pour s'assurer que leur serveur FTP est bien configuré, et qu'ils possèdent bien la dernière version du démon FTP. <!-- jeu de mot intraduisible sur abuse=délit, clean-up= laver une offense tant pis on n'est pas là pour rigoler --> <sect> Liste de questions-réponses <p> Le texte est organisé comme suit : <p> <enum> <item> Description générale de l'installation d'un serveur de FTP anonyme <item> Installation d'un serveur FTP sécurisé à racine déplacée <item> Informations spécifiques au système d'exploitation et suggestions <item> Où obtenir d'autres démons FTP. <item> Comment savoir si votre serveur FTP anonyme est sécurisé <item> Archie </enum> <!-- This is organized in the following fashion, I am breaking into several parts as follows: Part 1 - General Description of Setting up an "anonymous" ftp server. Part 2 - Setting up a chrooted Secure Anonymous ftp server. Part 3 - OS Specific needed information and suggestions. Part 4 - Where to get other FTP daemons Part 5 - How to Know if your Anonymous FTP Server is secure Part 6 - Archie Part 7 - Acknowledgements. Part 1 - General Description of Setting up an "anonymous" ftp server. How do I setup "anonymous" ftp securely? PLEASE READ ALL NOTES AND WARNINGS!!! --> <sect1>Description générale de l'installation d'un serveur de FTP anonyme <p> Comment installer un ftp anonyme sécurisé ? <p> <bf/Lisez toutes les notes et tous les avertissements !/ <enum> <!-- 1) Create the user ftp in /etc/passwd. Use a misc group. The user's home directory will be ~ftp where ~ftp is the root you wish anonymous users to see. Creating this user turns on anonymous ftp. Use an invalid password and user shell for better security. The entry in the passwd file should look something like: ftp:*:400:400:Anonymous FTP:/home/ftp:/bin/true --> <item> Ajoutez un nouvel utilisateur <tt/ftp/ dans <tt>/etc/passwd</tt>. Utilisez un groupe ordinaire. Le répertoire d'accueil de cet utilisateur sera <tt/~ftp/, ce sera la racine de l'arborescence que les utilisateurs anonymes verront. <P> Utilisez un mot de passe et un shell invalides pour plus de sécurité. Cette ligne du fichier <tt/passwd/ ressemblera à ceci : <verb> ftp:*:400:400:Anonymous FTP:/home/ftp:/bin/true </verb> <!-- 2) Create the home directory ~ftp. Make the directory owned by root (NOT ftp) with the same group as ftp. Thus, owner permissions are for root and group permissions are for the anonymous users. Set the permissions for ~ftp to 555 (read, nowrite, execute). *** Some MAN pages recommend making the ~ftp directory owned by ftp. *** This is a big NO-NO, if you want any type of security on your system. --> <item> Créez le répertoire d'accueil <tt/~ftp/, et donnez-en la propriété à <tt/root/ (<bf/pas à/ <tt/ftp/). Ainsi, les permissions du propriétaires seront attribuées à <tt/root/, et les permissions de groupes concerneront les utilisateurs anonymes. Mettez les droits d'accès de <tt/~ftp/ à <tt/555/ (lecture, pas d'écriture, exécution). <quote> Certaines pages de manuel recommandent d'attribuer le répertoire <tt/~ftp/ à l'utilisateur <tt/ftp/. <bf/Ne le faîtes surtout pas/ si vous tenez à la sécurité de votre système. </quote> <!-- 3) Create the directory ~ftp/bin. This directory is owned by root (group e.g. wheel) with permissions 111 (noread, nowrite, execute). 4) Copy the program ls into ~ftp/bin. ls is owned by root with permissions 111 (noread, nowrite, execute). Any other commands you put in ~ftp/bin should have the same permissions as well. 5) Make the directory ~ftp/etc. This directory is owned by root with permissions 111. --> <item>Créez le répertoire <tt>~ftp/bin</tt> appartenant à <tt/root/ (groupe <tt/wheel/ par exemple), avec les droits d'accès <tt/111/ (pas de lecture, pas d'écriture, exécution). <item>Copiez le programme <tt/ls/ dans <tt>~ftp/bin</tt>. <tt/ls/ appartiendra à <tt/root/, avec les droits <tt/111/ (pas de lecture, pas d'écriture, exécution). Vous donnerez les mêmes droits à toutes les commandes que vous mettrez ultérieurement dans <tt>~ftp/bin</tt>. <item>Créez le répertoire <tt>~ftp/etc</tt>, propriété de <tt/root/ avec les droits <tt/111/. <!-- 6) Create from scratch the files /etc/passwd and /etc/group in ~ftp/etc. These files should be mode 444. The passwd file should only contain root, daemon, uucp, and ftp. The group file must contain ftp's group. Use your /etc/passwd and /etc/group files as a template for creating passwd and group files going to ~ftp/etc. You may even change the user names in this file, they are used only for 'ls' command. So for example if all files in your ~ftp/pub/linux hierarchy will be maintained by a real user 'balon' with uid=156 you may put --> <item>Créez des fichiers <tt/passwd/ et <tt/group/ dans <tt> ~ftp/etc</tt>, avec les droits <tt/444/. Le fichier <tt/passwd/ ne devrait contenir que <tt/root/, <tt/daemon/, <tt/uucp/ et <tt/ftp/. Le fichier <tt/group/ contiendra le groupe choisi pour l'utilisateur <tt/ftp/. Utilisez vos fichiers <tt>/etc/passwd</tt> et <tt>/etc/group</tt> comme modèles pour <tt>~ftp/etc/passwd</tt> et <tt>~ftp/etc/group</tt>. Vous pouvez changer les noms d'utilisateurs dans ce fichier, ils ne sont utilisés que par la commande <tt/ls/. Si par exemple les fichiers de votre arborescence <tt>~ftp/pub/linux</tt> sont gérés par un utilisateur <tt/balon/ ayant l'<tt/uid/ <tt/156/, vous pouvez mettre la ligne <verb> linux:*:156:120:Kazik Balon:: </verb> <!-- linux:*:156:120:Kazik Balon:: in the ~ftp/etc/passwd file (regardless of his real username). Leave only these users who will own files under ftp hierarchy (e.g. root, daemon, ftp...) and definitely remove *ALL* passwords by replacing them with '*' so the entry looks like: root:*:0:0:Ftp maintainer:: ftp:*:400:400: Anonymous ftp:: --> dans le fichier <tt> ~ftp/etc/passwd </tt> (indépendemment de son vrai nom). Ne faîtes figurer que les utilisateurs qui possèdent des fichiers dans l'arborescence FTP, (c'est-à-dire <tt/root/, <tt/daemon/, <tt/ftp/...) et supprimez résolument <bf/tous/ les mots de passe en les replaçant par une étoile ``<tt/*/''. Les lignes du fichier <tt> ~ftp/etc/passwd </tt> ressembleront donc à ceci : <verb> root:*:0:0:Ftp maintainer:: ftp:*:400:400: Anonymous ftp:: </verb> <!-- For more security, you can just remove ~ftp/etc/passwd and ~ftp/etc/group (the effect is that ls -l will not show the directories' group names). Wuarchive ftp daemon (and some others) have some extensions based on the contents of the group/passwd files, so read the appropriate documentation. --> Pour plus de sécurité, vous pouvez tout simplement supprimer <tt>~ftp/etc/passwd</tt> et <tt>~ftp/etc/group</tt> (dans ce cas la commande ``<tt/ls -l/'' ne montrera pas les noms des groupes des répertoires). Le démon FTP de Wuarchive (et d'autres) se base également sur le contenu des fichiers <tt/group/ et <tt/passwd/ : lire la documentation appropriée. <!-- 7) Make the directory ~ftp/pub. This directory is owned by you and has the same group as ftp with permissions 555. On most systems (like SunOS) you may want to make this directory 2555, ie. set-group-id, in order to create new files with the same group ownership. Files are left here for public distribution. All folders inside ~ftp/pub should have the same permissions as 555. --> <item>Créez le répertoire <tt>~ftp/pub</tt>. Ce répertoire vous appartiendra et aura le même groupe que <tt/ftp/ avec les droits <tt/555/. Sur la plupart des systèmes (comme SunOs) vous pourrez donner les droits <tt/2555/ (positionnant le bit <tt/set-group-id/) pour que les fichiers créés dans ce répertoire appartiennent au même groupe. Les fichiers déposés dans ce répertoire seront accessibles publiquement. Vous mettrez les mêmes droits d'accès <tt/555/ à tous les sous-répertoires de <tt>~ftp/pub</tt>. <!-- *** Neither the home directory (~ftp) nor any directory below it should be owned by ftp! No files should be owned by ftp either. Modern ftp daemons support all kinds of useful commands, such as chmod, that allow outsiders to undo your careful permission settings. They also have configuration options like the following (WuFTP) to disable them: --> Ni le répertoire d'accueil <tt>~ftp</tt>, ni aucun de ses sous-répertoires ne devra appartenir à l'utilisateur <tt/ftp/ (ni aucun fichier nulle part ailleurs). Les démons FTP modernes supportent des tas de commandes très utiles, comme <tt/chmod/, qui permettent de modifier de l'extérieur les droits d'accès que vous avez laborieusement positionnés. Des options de configurations permettent de désactiver ces commandes (ici WuFTP) : <code> # all the following default to "yes" for everybody delete no guest,anonymous # delete permission? overwrite no guest,anonymous # overwrite permission? rename no guest,anonymous # rename permission? chmod no anonymous # chmod permission? umask no anonymous # umask permission? </code> <!-- 8) If you wish to have a place for anonymous users to leave files, create the directory ~ftp/pub/incoming. This directory is owned by root with permissions 733. Do a 'chmod +t ~ftp/pub/incoming'. The ftp daemon will normally not allow an anonymous user to overwrite an existing file, but a normal user of the system would be able to delete anything. By setting the mode to '1733' you prevent this from happening. In wuftpd you may configure the daemon to create new files with permissions '600' owned by root or any other user. Many times, incoming directories are abused by exchanging pirated and pornographic material. Abusers often create hidden directories there for this purpose. Making the incoming directory unreadable by anonymous ftp helps to some extent. With ordinary ftp severs there is no way to prevent directories being created in incoming. The WUarchive ftp server can limit uploads to certain directories and can restrict characters used in file names like this: --> <item>Si vous voulez que les utilisateurs anonymes puissent déposer des fichiers, créez le répertoire <tt>~ftp/pub/incoming</tt> (propriétaire <tt/root/, droits <tt/733/). Faîtes un ``<tt>chmod +t ~ftp/pub/incoming </tt>''. Normalement le démon FTP interdit aux utilisateurs anonymes d'écraser un fichier existant, mais un utilisateur normal pourrait détruire n'importe quoi. En mettant les droits à <tt/1733/ ce ne sera plus possible. Avec <tt/wuftpd/ vous pouvez configurer le démon pour que les fichiers créés le soient avec les droits <tt/600/ et appartiennent à <tt/root/ (ou tout autre utilisateur). <p> Parfois répertoires ``incoming'' sont utilisés frauduleusement pour échanger de fichiers piratés ou pornographiques. Les fraudeurs y créent des sous-répertoires cachés précisément dans ce but. Ça aide un peu de rendre le répertoire <tt/incoming/ illisible par les utilisateurs anonymes. Avec les serveurs FTP usuels, on ne peut pas empécher la création de répertoires dans <tt/incoming/. Le serveur ftp de WUarchive permet de limiter les dépôts à certains répertoires, et de mettre des restrictions sur les noms que l'on peut donner aux fichiers, comme par exemple: <code> # specify the upload directory information upload /var/spool/ftp * no upload /var/spool/ftp /incoming yes ftp staff 0600 nodirs # path filters # path-filter... path-filter anonymous /etc/msgs/pathmsg ^[-A-Za-z0-9_\.]*$ ^\. ^- path-filter guest /etc/msgs/pathmsg ^[-A-Za-z0-9_\.]*$ ^\. ^- </code> <quote><bf/Suggestion/ : installez votre arborescence FTP (ou tout au moins la partie <tt/incoming/) dans un système de fichiers à part. Ceci empêchera une <it/attaque paralysante/ consistant à saturer complètement votre partition principale (via le répertoire <tt/incoming/) avec des cochonneries. </quote> <!-- Suggestion: Create an extra file-system for your ftp-area (or at least for your incoming-area) to prevent a denial-of-service attack by filling your disk with garbage (inside your incoming directory). If you have wuftpd you may want to add some ftp extensions like compression/decompression 'on the fly' or creation of tar files for the directory hierarchies. Get the appropriate sources (gzip, gnutar, compress), compile them and link statically, put in the ~ftp/bin directory and edit the appropriate file containing the definitions of the allowed conversions. /usr/bin/tar is already statically-linked. You may wish to use gnu tar anyway. --> Si vous avez <tt/wuftpd/ vous pourrez installer quelques extensions comme la compression-décompression <it/au vol/, ou la création de fichiers <tt/tar/ pour les arborescences. Récupérez les sources nécessaires (<tt/gzip/, <tt/gnutar/, <tt/compress/), compilez-les avec une édition des liens <it/statique/, et éditez le fichier qui contient la définition des conversions autorisées. Le programme <tt>/usr/bin/tar</tt> est déjà lié statiquement. Vous préférerez probablement utiliser GNU-tar de toutes façons. <!-- Gary Mills wrote a small program to support the following: I got compress from ftp.uu.net, in the root directory, I believe, and compiled it. To do tar and compress, I wrote a tiny program called `pipe', and statically-linked it. My /etc/ftpconversions file looks like this: --> Garry Mills a écrit le petit programme qui fait çà : <quote> J'ai pris <tt/compress/ sur <tt>ftp.uu.net</tt>, à la racine je crois, et je l'ai compilé. Pour <tt/tar/ et <tt/compress/, j'ai écrit un petit programme appelé ``<tt/pipe/'', que j'ai lié statiquement. Mon fichier <tt> /etc/ftpconversions </tt> ressemble à ceci : <footnote>Note du traducteur: les 3 lignes qui ne commencent pas par deux-points ou dièse sont la continuation de celles qui les précèdent. J'ai dû les tronquer pour des raisons de formattage. </footnote> <code> #strip prefix:strip postfix:addon prefix:addon postfix:external command: #types:options:description :.Z: : :/bin/compress -d -c %s:T_REG|T_ASCII:O_UNCOMPRESS:UNCOMPRESS :-z: : :/bin/compress -d -c %s:T_REG|T_ASCII:O_UNCOMPRESS:UNCOMPRESS : : :.Z:/bin/compress -c %s:T_REG:O_COMPRESS:COMPRESS : : :.tar:/bin/tar cf - %s:T_REG|T_DIR:O_TAR:TAR : : :.tar.Z:/bin/pipe /bin/tar cf - %s | /bin/compress -c:T_REG|T_DI R:O_COMPRESS|O_TAR:TAR+COMPRESS : : :.tar:/bin/gtar -c -f - %s:T_REG|T_DIR:O_TAR:TAR : : :.tar.Z:/bin/gtar -c -Z -f - %s:T_REG|T_DIR:O_COMPRESS|O_TAR:TAR +COMPRESS : : :.tar.gz:/bin/gtar -c -z -f - %s:T_REG|T_DIR:O_COMPRESS|O_TAR:TA R+GZIP </code> Voilà le programme: <code> /* pipe.c: exec two commands in a pipe */ #define NULL (char *)0 #define MAXA 16 main(argc, argv) int argc; char *argv[]; { char *av1[MAXA], *av2[MAXA]; int i, n, p[2], cpid; i = 0; n = 0; while ( ++i < argc && n < MAXA ) { if ( *argv[i] == '|' && *(argv[i]+1) == '\0' ) break; av1[n++] = argv[i]; } if ( n == 0 ) uexit(); av1[n] = NULL; n = 0; while ( ++i < argc && n < MAXA ) av2[n++] = argv[i]; if ( n == 0 ) uexit(); av2[n] = NULL; if ( pipe(p) != 0 ) exit(1); if ( ( cpid = fork() ) == (-1) ) exit(1); else if ( cpid == 0 ) { (void)close(p[0]); (void)close(1); (void)dup(p[1]); (void)close(p[1]); (void)execv(av1[0], av1); _exit(127); } else { (void)close(p[1]); (void)close(0); (void)dup(p[0]); (void)close(p[0]); (void)execv(av2[0], av2); _exit(127); } /*NOTREACHED*/ } uexit() { (void)write(2, "Usage: pipe <command> | <command>\n", 34); exit(1); } </code> </quote> <!-- 9) Other things to do: as root: touch ~ftp/.rhosts ~ftp/.forward chmod 400 ~ftp/.rhosts ~ftp/.forward ie. make these files zero-length and owned by root. Due to the last /bin/mail bugs in SunOS: touch /usr/spool/mail/ftp; chmod 400 /usr/spool/mail/ftp Consider an email-alias for the ftp-admin(s) to provide an email-address for problems-reports. --> <item> Autres choses à faire : <itemize> <item> Sous <tt/root/ créez des fichiers <tt/.rhosts/ et <tt/.forward/ vides, appartenant à <tt/root/n en faisant par exemple <verb> touch ~ftp/.rhosts ~ftp/.forward chmod 400 ~ftp/.rhosts ~ftp/.forward </verb> <item> Prévoyez un alias de courrier pour que les utilisateurs puissent signaler leurs problèmes à l'administrateur FTP. <item>Si vous montez des disques d'autres machines (ou même de la vôtre) dans l'arborescence ~<tt/ftp/, montez-les en lecture seulement. La ligne correcte dans <tt>/etc/fstab</tt> (sur la machine où tourne <tt/ftpd/) ressemble à : <verb> other:/u1/linux /home/ftp/pub/linux nfs ro,noquota,nosuid,intr,bg 1 0 </verb> Ceci monte le disque de la machine <tt/other/ sur le répertoire <tt>/home/ftp/pub/linux</tt> sans quotas, sans aucun programme à ``suid'' (on ne sait jamais), interruptible (pour le cas où <tt/other/ s'arrête), et en arrière-plan ``<tt/bg/'', pour que si vous redémarrez votre machine alors que <tt/other/ est arrêté, elle ne vous bloque pas en réessayant continuellement de monter <tt> /home/ftp/pub/linux</tt>. </itemize> <!-- If you are mounting some disks from other machines (or even your own) to the ~ftp hierarchy, mount it read-only. The correct entry for the /etc/fstab (on the host with ftpd) is something like: other:/u1/linux /home/ftp/pub/linux nfs ro,noquota,nosuid,intr,bg 1 0 This mounts under /home/ftp/pub/linux the disk from host 'other' with no quota, no 'suid' programs (just in case), interruptible (in case 'other' goes down) and 'bg' - so if 'other' is down when you reboot it will not stop you trying to mount /home/ftp/pub/linux all over again. --> </enum> <sect1>Installation d'un serveur FTP sécurisé à racine déplacée<p> <quote>Note du traducteur : Il s'agit là des serveurs ``chrooted FTP'', c'est-à-dire qui ne montrent à tous les utilisateurs (pas seulement les anonymes) qu'une sous-arborescence volontairement limitée, dont la racine apparente <it/n'est pas/ la vraie racine de la hiérarchie de fichiers. </quote> Contribution de Marcus J. Ranum <tt/<mjr@tis.com>/. <p> Etapes d'installation : <!-- Part 2 - Setting up a chrooted Secure Anonymous ftp server. This part was contributed by Marcus J Ranum <mjr@tis.com> Steps ----- 1) Build a statically linked version of ftpd and put it in ~ftp/bin. Make sure it's owned by root. 2) Build a statically linked version of /bin/ls if you'll need one. Put it in ~ftp/bin. If you are on a Sun, and need to build one, there's a ported version of the BSD net2 ls command for SunOs on ftp.tis.com: pub/firewalls/toolkit/patches/ls.tar.Z Make sure it's owned by root. 3) Chown ~ftp to root and make it mode 755 THIS IS VERY IMPORTANT --> <enum> <item>Faites une version de <tt/ftpd/ qui soit liée <it/statiquement/, et mettez dans <tt>~ftp/bin</tt>. Assurez-vous que <tt/root/ en est le propriétaire. <item>Si vous avez besoin de <tt>/bin/ls</tt>, faîtes-en une version <it/statique/ également, que vous mettrez dans <tt>~ftp/bin</tt>. Il y a un portage de la commande <tt/ls/ de BSD net2 pour SunOs sur <tt>ftp.tis.com</tt> dans <tt> pub/firewalls/toolkit/patches/ls.tar.Z </tt>. Vérifiez que <tt/root/ en est propriétaire. <!-- 4) Set up copies of ~ftp/etc/passwd and ~ftp/etc/group just as you would normally, EXCEPT make 'ftp's home directory '/' - make sure they are owned by root. --> <item>Remplissez <tt>~ftp/etc/passwd</tt> <tt>~ftp/etc/group</tt> comme vous le feriez normalement, <bf/mais surtout/ ne mettez pas la racine <tt>/</tt> comme répertoire d'accueil pour l'utilisateur <tt/ftp/. Assurez-vous que ces deux fichiers appartiennent à <tt/root/. <!-- 5) Write a wrapper to kick ftpd off and install it in /etc/inetd.conf The wrapper should look something like: (assuming ~ftp = /var/ftp) --> <item>Écrivez un ``lanceur'' (wrapper) pour <tt/ftpd/ et installez-le dans <tt>/etc/inetd.conf</tt>. En supposant que <tt/~ftp/ = <tt>/var/ftp</tt>, le lanceur ressemble à ceci : <code> main() { if(chdir("/var/ftp")) { perror("chdir /var/ftp"); exit(1); } if(chroot("/var/ftp")) { perror("chroot /var/ftp"); exit(1); } /* optional: seteuid(FTPUID); */ execl("/bin/ftpd","ftpd","-l",(char *)0); perror("exec /bin/ftpd"); exit(1); } </code> <!-- Options: You can use 'netacl' from the toolkit or tcp_wrappers to achieve the same effect. We use 'netacl' to switch so that a few machines that connect to the FTP service *don't* get chrooted first. This makes transferring files a bit less painful. You may also wish to take your ftpd sources and find all the places where it calls seteuid() and remove them, then have the wrapper do a setuid(ftp) right before the exec. This means that if someone knows a hole that makes them "root" they still won't be. Relax and imagine how frustrated they will be. If you're hacking ftpd sources, I suggest you turn off a bunch of the options in ftpcmd.y by unsetting the "implemented" flag in ftpcmd.y. This is only practical if your FTP area is read-only. --> Autres possibilités : <itemize> <item>Vous pouvez utiliser <tt/netacl/ de la boite à outils standard, ou des ``tcp-wrappers'' pour obtenir le même résultat. <item>Nous utilisons <tt/netacl/ pour pouvoir activer/désactiver le confinement pour que quelques machines qui se connectent au service FTP <bf/ne soient pas/ confinées dès le début. Ceci rend le transfert de fichiers un peu moins pénible. <item>Vous pouvez aussi modifier les sources de <tt/ftpd/ et enlever tous les appels à <tt/seteuid()/. Ceux qui connaissent des trous de sécurité qui permettent de passer <tt/root/ n'y arriveront plus. Détendez-vous et imaginez combien ils vont être frustrés. <item>Si vous bricolez les sources de <tt/ftpd/, je vous recommande de désactiver un tas d'options dans <tt/ftpcmd.y/ en enlevant l'indicateur ``<tt/implemented/''. Ça ne sera commode que si votre serveur FTP est destiné uniquement à la consultation. <!-- 6) As usual, make a pass through the FTP area and make sure that the files are in correct modes and that there's nothing else in there that can be executed. 7) Note, now, that your FTP area's /etc/passwd is totally separated from your real /etc/passwd. This has advantages and disadvantages. 8) Some stuff may break, like syslog, since there is no /dev/log. Either build a version of ftpd with a UDP-based syslog() routine or run a second syslogd based on the BSD Net2 code, that maintains a unix-domain socket named ~ftp/dev/log with the -p flag. --> <item> Comme d'habitude, faites un tour dans votre zone FTP, et vérifiez que les fichiers ont des droits convenables et que rien ne traîne qui puisse être exécuté. <item> Notez que le fichier <tt>/etc/passwd</tt> de votre zone FTP est maintenant complètement séparé de votre vrai <tt>/etc/passwd</tt>. Il y a des avantages et des inconvénients. <item> Certains programmes peuvent ne pas fonctionner, comme <tt/syslog/, parce qu'il n'y a pas de <tt>/dev/log</tt>. Dans ce cas vous pouvez construire une version de <tt/ftpd/ avec une routine <tt/syslog()/ basée sur UDP, ou encore faire tourner un second <tt/syslogd/ reposant sur le code BSD Net2, qui avec l'option <tt>-p ~ftp/dev/log</tt> gèrera un socket <it/unix-domain/. </itemize> </enum> <!-- REMEMBER: If there is a hole in your ftpd that lets someone get "root" access they can do you some damage even chrooted. It's just lots harder. If you're willing to hack some code, making the ftpd run without permissions is a really good thing. The correct operation of your hacked ftpd can be verified by connecting to it and (while it's still at the user prompt) do a ps-axu and verify that it's not running as root. --> <quote> <bf/Rappellez-vous :/ si on peut passer <tt/root/ par une faille de votre <tt/ftpd/, on peut vous causer des dégâts même sur un serveur à arborescence déplacée. Si vous n'avez pas peur de bricoler du code, s'arranger pour faire tourner <tt/ftpd/ sans permissions est une très bonne chose. Vous pouvez vérifier le bon fonctionnement de votre serveur bricolé en vous y connectant et (pendant qu'il en est à la chaîne d'invite utilisateur) en faisant un <tt/ps-axu/ pour voir s'il le tourne pas sous <tt/root/. </quote> <!-- Part 3 - OS Specific needed information and suggestions. Older SVR2 and SVR3 system, RTU 6.0 (Masscomp, now Concurrent Real Time UNIX), AT&T 3B1 and 3B2 machines - May need dev/tcp: [dev/tcp] These ftpd implementations may require a ~ftp/dev/tcp in order for anonymous ftp to work. You have to create a character special device with the appropriate major and minor device numbers. The appropriate major and minor numbers of ~ftp/dev/tcp are what the major and minor numbers of /dev/tcp are. The ~ftp/dev is a directory and ~ftp/dev/tcp is a character special device. Make them owned and grouped by root. Permissions for ~ftp/dev is root read/write/exec and other & group read and exec. The permissions for ~ftp/dev/tcp is root read/write, other & group read. --> <sect1>Informations sécifiques au système d'exploitation et suggestions<p> <sect2>Vieux systèmes SVR2 et SVR3, ...<P> ... RTU6.0 (Masscomp, maintenant dénommée Concurrent Real Time UNIX), machines AT&T 3B1 et 3B2 : Ces systèmes peuvent avoir besoin de <tt>dev/tcp</tt>. <p> <bf>(dev/tcp)</bf> Ces implémentations de <tt/ftpd/ peuvent requérir un <tt>~ftp/dev/tcp</tt> en état de marche pour que le FTP anonyme fonctionne. <P> Il faut créer un fichier spécial en mode caractères avec les nombres majeur et mineur convenables. Les nombres convenables pour <tt>~ftp/dev/tcp</tt> sont ceux de <tt>/dev/tcp</tt>. <p> <tt>~ftp/dev</tt> est un répertoire, et <tt>~ftp/dev/tcp</tt> est un fichier spécial en mode caractères. Fixez-en le groupe et le propriétaire à <tt/root/. Les droits d'accès de <tt>~ftp/dev</tt> sont lecture-écriture-exécution pour <tt/root/, et lecture-exécution pour le groupe et les autres. Pour <tt>~ftp/dev/tcp</tt>, <tt/root/ aura le droit de lire et écrire, les autres et le groupe le droit de lire seulement. <sect2> HPUX <p> <bf/(Fichiers de trace)/ Si vous utilisez le <tt/ftpd/ de HP, la ligne de <tt>/etc/inetd.conf</tt> devrait lancer <tt/ftpd -l/, qui fait des traces supplémentaires. <!-- Logging If you're using HP's native ftpd, the line in /etc/inetd.conf should execute ftpd -l, which does extra logging. --> <sect2>SunOs<p> <bf>(Bibliothèques)</bf> Pour que SunOs utilise ses bibliothèques dynamiques partagées, suivez ces étapes : <enum> <item> Créez le répertoire <tt>~ftp/usr</tt>. Le propriétaire est <tt/root/, avec les droits <tt/555/. <item> Créez le répertoire <tt>~ftp/usr/lib</tt>. Le propriétaire est <tt/root/, avec les droits <tt/555/. <item> Copiez le chargeur dynamique <tt/ld.so/ dans <tt>~ftp/usr/lib</tt> pour qu'il soit utilisable par <tt/ls/. <tt/ld.so/ appartient à <tt/root/ avec les droits <tt/555/. <!-- SunOS [Libraries] To set up SunOS to use its shared dynamic libraries, follow these steps: 1) Create the directory ~ftp/usr. This directory is owned by root with permissions 555. 2) Create the directory ~ftp/usr/lib. This directory is owned by root with permissions 555. 3) Copy the runtime loader ld.so into ~ftp/usr/lib for use by ls. ld.so is owned by root with permissions 555. 4) Copy the latest version of the shared C library, libc.so.* into ~ftp/usr/lib for use by ls. libc.so.* is owned by root with permissions 555. ***4.1.2(or above) users: you also need to copy /usr/lib/libdl.so.* to ~ftp/lib. 5) Create the directory ~ftp/dev. This directory is owned by root with permissions 111. --> <item>Copiez la version la plus récente de la bibliothèque X partagée, (<tt/libc.so.*/) dans <tt>~ftp/usr/lib</tt> pour qu'elle soit utilisée par <tt/ls/. La copie <tt/libc.so.*/ appartiendra à <tt/root/ avec les droits <tt/555/. <p> Utilisateurs de 4.1.2 (ou au-delà) : il faut aussi copier <tt> /usr/lib/libdl.so.*</tt> dans <tt>~ftp/lib</tt>. <item>Créez le répertoire <tt>~ftp/dev</tt>. Propriétaire <tt/root/ et droits d'accès <tt/111/. <!-- 6) ~ftp/dev/zero is needed by the runtime loader. Move into the directory ~ftp/dev and create it with the command: mknod zero c 3 12 chown ~ftp/dev/zero to root. Make sure it's readable. ***For novices: WARNING!! Don't try to copy /dev/zero to ~ftp/dev/zero!! This is an endless file of zeroes and it will completely fill your filesystem! 7) If you want to have the local time showing when people connect, create the directory ~ftp/usr/share/lib/zoneinfo and copy /usr/share/lib/zoneinfo/localtime 8) If you are bothered by the need for copying your libraries so that you can use Sun's 'ls', which is dynamically linked, you can try to get a statically linked copy of 'ls' instead. The CD-ROM that contains Sun's OS has a statically-linked version of ls. In this case, you can dispense with steps #6-8. --> <item> Le chargeur a besoin de <tt>~ftp/dev/zero</tt>. Placez-vous dans le répertoire <tt>~ftp/dev</tt> et créez-le par la commande : <verb> mknod zero c 3 12 </verb> transférez-en la propriété à <tt/root/. Assurez-vous qu'il est lisible. <p> <quote><bf/Avertissement aux novices :/ N'essayez pas de copier <tt>/dev/zero</tt> dans <tt>~/ftp/dev/zero</tt> !!! C'est un fichier sans fin de zeros et il va remplir complètement votre partition ! </quote> <item>Si vous voulez que l'heure locale s'affiche quand les gens se connectent, créez le répertoire <tt>~ftp/usr/share/lib/zoneinfo</tt> et copiez-y <tt>/usr/share/lib/zoneinfo/localtime</tt>. <item>Si vous n'aimez pas l'idée de copier vos bibliothèques pour pouvoir utiliser le <tt>ls</tt> de Sun qui est lié dynamiquement, vous pouvez essayer de récupérer un <tt>ls</tt> statique à la place. Il y en a un sur le CD-ROM de distribution de SunOS. Dans ce cas vous pouvez vous dispenser des étapes 6 à 8. <p> Si vous voulez un autre <tt>ls</tt> statique, récupérez <tt>fileutils</tt> de GNU sur un serveur d'archives proche et liez-le statiquement. </enum> <!-- Statically linked versions may be available from the following sources: If you want a statically linked "ls" get the GNU fileutils off a archive site near you and statically link it. [Logging] Sun's standard ftpd logs *all* password information. To correct it, install patch: 101640-03 SunOS 4.1.3: in.ftpd logs password info when -d option is used. --> <bf>(Fichiers de trace)</bf> Le démon <tt/ftpd/ standard de Sun enregistre <it/tous/ les mots de passe. Pour corriger ça, passez le patch : <verb> 101640-03 SunOS 4.1.3: in.ftpd logs password info when -d option is used. </verb> <!-- In /etc/inetd.conf find the line that starts with "ftp". At the end of that line, it should read "in.ftpd". Change that to "in.ftpd -dl". In /etc/syslog.conf, add a line that looks like: daemon.* /var/adm/daemonlog The information can be separated, such as: daemon.info /var/adm/daemon.info daemon.debug /var/adm/daemon.debug daemon.err /var/adm/daemon.err --> Dans <bf>/etc/inetd.conf</bf> trouvez la ligne qui commence par <tt/ftp/. La fin de la ligne qui devrait être ``<tt/in.ftpd/'', remplacez-la par ``<tt/in.ftpd -dl/>>. Dans <tt>/etc/syslog.conf</tt>, ajoutez une ligne <verb> daemon.* /var/adm/daemonlog </verb> L'information peut-être ventilée sur plusieurs fichiers, en faisant : <verb> daemon.info /var/adm/daemon.info daemon.debug /var/adm/daemon.debug daemon.err /var/adm/daemon.err </verb> <!-- Note that the whitespace between the two columns must include at least one TAB character, not just spaces, or it won't work. Of course your log file could be anything you want. Then, create the logfile (touch /var/adm/daemonlog should do). Finally, restart inetd and syslogd, either individually, or by rebooting the system. You should be good to go. If you do not install the patch, make sure the log file is owned by root and mode 600, as the ftp daemon will log *everything*, including users' passwords. --> Attention, l'espace entre les deux colonnes doit contenir au moins une tabulation, et pas seulement des espaces, sinon ça ne va pas marcher. Vous pouvez mettre vos fichiers de traces où vous voulez. Ensuite, créez les fichiers de traces (par exemple par <tt>touch /var/adm/daemonlog</tt>). Pour finir, relancez <tt/inetd/ et <tt/syslogd/, soit manuellement, soit en démarrant le système. Ça devrait fonctionner. <p> Si vous n'installez pas le patch, assurez-vous que le fichier de traces appartient bien à <tt>root</tt> et qu'il a les droits <tt>600</tt>, parce que le démon <tt>ftpd</tt> enregistrera absolument tout, y compris les mots de passe des utilisateurs. <!-- *** You want to make all logs root only readable for security reasons *** If a user mistypes his password for his username, it could be compromised *** if anyone can read the log files. --> <quote> Pour des raisons de sécurité les fichiers de traces ne doivent être lisibles que par <tt>root</tt> : si par erreur un utilisateur tape son mot de passe au lieu de son nom, il pourrait être piraté par quiconque peut lire les traces. </quote> <!-- Part 4 - Where to get other FTP daemons Wuarchive FTP 2.4- A secure FTP daemon that allows improved access-control, logging, pre-login banners, and is very configurable: Can be ftp'd from ftp.uu.net in "/networking/ftp/wuarchive-ftpd" directory. Be certain to verify the checksum information to confirm that you have retrieved a valid copy. [Warning: Older versions of Wu-FTP are extremely insecure and in some cases have been trojaned.] --> <sect1>Où se procurer d'autres démons FTP ? <p> <bf/Wuarchive FTP 2.4/ - Un démon FTP sécurisé qui améliore le contrôle d'accès, les fichiers de traces, les bannières d'avant-login, et offre de nombreuses options de configuration. Par <tt>ftp</tt> sur <tt/ftp.uu.net/ dans le répertoire <tt>/networking/ftp/wuarchive-ftpd</tt>. Vérifiez bien le checksum pour être sûr d'avoir chargé une copie valide. (<bf/Avertissement/ : les anciennes versions de <tt>Wu-FTP</tt> sont très vulnérables et certaines ont des chevaux de Troie.) <verb> BSD SVR4 File Checksum Checksum MD5 Digital Signature ----------------- -------- --------- -------------------------------- wu-ftpd-2.4.tar.Z 38213 181 20337 362 cdcb237b71082fa23706429134d8c32e patch_2.3-2.4.Z 09291 8 51092 16 5558a04d9da7cdb1113b158aff89be8f For DECWRL ftpd, sites can obtain version 5.93 via anonymous FTP from gatekeeper.dec.com in the "/pub/misc/vixie" directory. BSD SVR4 File Checksum Checksum MD5 Digital Signature ----------------- -------- --------- -------------------------------- ftpd.tar.gz 38443 60 1710 119 ae624eb607b4ee90e318b857e6573500 For BSDI systems, patch 005 should be applied to version 1.1 of the BSD/386 software. You can obtain the patch file via anonymous FTP from ftp.bsdi.com in the "/bsdi/patches-1.1" directory. BSD SVR4 File Checksum Checksum MD5 Digital Signature ----------------- -------- --------- -------------------------------- BU110-005 35337 272 54935 543 1f454d4d9d3e1397d1eff0432bd383cf </verb> <!-- Public Domain Sources: ftp.uu.net ~ftp/systems/unix/bsd-sources/libexec/ftpd gatekeeper.dec.com ~ftp/pub/DEC/gwtools/ftpd.tar.Z --> Sources dans le domaine public : <verb> ftp.uu.net ~ftp/systems/unix/bsd-sources/libexec/ftpd gatekeeper.dec.com ~ftp/pub/DEC/gwtools/ftpd.tar.Z </verb> <!-- Part 5 - How to Know if your Anonymous FTP Server is secure This section is intended for the administrator to go down a small check list of things to make sure his server is not easily compromised. a) Check to make sure your ftp server does not have SITE EXEC command by telneting to port 21 and typing SITE EXEC. If your ftp daemon has SITE EXEC make sure it is the most current version (ie, Wu-FTP 2.4). In older versions this allows anyone to gain shell via port 21. b) Check to make sure no one can log in and make files or directories in the main directory. If anyone can log in as anonymous FTP and make files such as .rhosts and .forward, instant access is granted to any intruder. --> <sect1>Comment savoir si votre serveur FTP anonyme est sécurisé<p> Cette section offre à l'administrateur une petite liste de points à vérifier pour vérifier que son serveur n'est pas trop facile à fracturer. <enum> <item> Vérifiez que votre serveur n'a pas la commande <tt>SITE EXEC</tt> en vous connectant par <tt>telnet</tt> sur le port 21 et en tapant ``<tt>SITE EXEC</tt>''. Si votre démon FTP accepte cette commande, vérifiez qu'il est dans sa version la plus récente (c'est-à-dire <tt/Wu-FTP 2.4/). Dans les versions plus anciennes, la commande permet à n'importe qui d'exécuter un shell par le port 21. <item>Vérifiez que personne ne peut se connecter et créer des fichiers et des répertoires dans le répertoire principale. Si n'importe qui peut se connecter sous <tt>anonymous</tt> et créer des fichiers <tt>.rhosts</tt>, et <tt>.forward</tt>, l'accès est alors ouvert à tout intrus. <item>Vérifiez que le répertoire principal <bf/n'appartient pas/ à <tt>ftp</tt>. Sinon un intrus peut faire ``<tt/SITE CHMOD 777/'' sur le répertoire principal et installer des fichiers qui lui donneront immédiatement un accès. La commande <tt/SITE CHMOD/ devrait être supprimée parce que les utilisateurs anonymes n'ont besoin d'aucun privilège particulier. <item>Vérifier qu'<bf/aucun/ fichier ou répertoire n'appartient à <tt>ftp</tt>. Si c'etait le cas, un intrus pourrait les remplacer par un cheval de Troie. <item>Il y a plusieurs erreurs dans les vieux démons, il est donc très important de vous assurer que vous avez les versions les plus récentes. </enum> <!-- c) Check to make sure the main directory is NOT owned by ftp. If it is owned by FTP, an intruder could SITE CHMOD 777 the main directory and then plant files to give him instant access. SITE CHMOD command should be removed because anonymous users do not need any extra priviledges. d) Check to make sure NO files or directories are owned by ftp. If they are, it is possible an intruder could replace them with his own trojan versions. e) There were several bugs in old daemons, so it is very important to make sure you are running the most current ftp daemons. Part 6 - Archie Searches FTP sites for programs. Login into these sites as archie or use client software for faster access. To get your own anonymous site added to Archie's search list, e-mail archie-updates@bunyip.com. --> <sect1>Archie<p> Recherche des programmes dans les sites FTP. Connectez-vous à ces sites sous le nom <tt>archie</tt> ou utilisez un client Archie pour un accès plus rapide. Pour faire ajouter votre site dans la liste des serveurs explorés par Archie, envoyez un courrier électronique à <tt/archie-updates@bunyip.com/. <verb> archie.ac.il 132.65.20.254 (Israel server) archie.ans.net 147.225.1.10 (ANS server, NY (USA)) archie.au 139.130.4.6 (Australian Server) archie.doc.ic.ac.uk 146.169.11.3 (United Kingdom Server) archie.edvz.uni-linz.ac.at 140.78.3.8 (Austrian Server) archie.funet.fi 128.214.6.102 (Finnish Server) archie.internic.net 198.49.45.10 (ATT server, NY (USA)) archie.kr 128.134.1.1 (Korean Server) archie.kuis.kyoto-u.ac.jp 130.54.20.1 (Japanese Server) archie.luth.se 130.240.18.4 (Swedish Server) archie.ncu.edu.tw 140.115.19.24 (Taiwanese server) archie.nz 130.195.9.4 (New Zealand server) archie.rediris.es 130.206.1.2 (Spanish Server) archie.rutgers.edu 128.6.18.15 (Rutgers University (USA)) archie.sogang.ac.kr 163.239.1.11 (Korean Server) archie.sura.net 128.167.254.195 (SURAnet server MD (USA)) archie.sura.net(1526) 128.167.254.195 (SURAnet alt. MD (USA)) archie.switch.ch 130.59.1.40 (Swiss Server) archie.th-darmstadt.de 130.83.22.60 (German Server) archie.unipi.it 131.114.21.10 (Italian Server) archie.univie.ac.at 131.130.1.23 (Austrian Server) archie.unl.edu 129.93.1.14 (U. of Nebraska, Lincoln (USA)) archie.uqam.ca 132.208.250.10 (Canadian Server) archie.wide.ad.jp 133.4.3.6 (Japanese Server) </verb> <sect>Remerciements<p> Merci à toutes les personnes suivantes, dont les suggestions ont aidé à réaliser cette FAQ : <!-- Thanks to the following people for suggestions that help shape this FAQ: --> <verb> Tomasz Surmacz (tsurmacz@asic.ict.pwr.wroc.pl) Wolfgang Ley (Ley@rz.tu-clausthal.de) Russel Street (russells@ccu1.auckland.ac.nz) Gary Mills (mills@CC.UManitoba.CA) Nicholas Ironmonger (ndi@sam.math.ethz.ch) Morten Welinder (terra@diku.dk) Nick Christenson (npc@minotaur.jpl.nasa.gov) Mark Hanning-Lee (markhl@romoe.caltech.edu) Marcus J Ranum <mjr@tis.com> </verb> <sect> Copyright <p> Ce document est © 1994 par Christopher Klaus de Internet Security Systems, Inc. <P> La permission de donner des copies gratuites est accordée. Vous pouvez distribuer, transférer ou répandre ce papier. Vous ne pouvez pas prétendre en être l'auteur. Cet avertissement doit figurer dans toute copie. <p> This paper is Copyright (©) 1994 by Christopher Klaus of Internet Security Systems, Inc. <p> Permission is hereby granted to give away free copies. You may distribute, transfer, or spread this paper. You may not pretend that you wrote it. This copyright notice must be maintained in any copy made. <p> <!-- Disclaimer The information within this paper may change without notice. Use of this information constitutes acceptance for use in an AS IS condition. There are NO warranties with regard to this information. In no event shall the author be liable for any damages whatsoever arising out of or in connection with the use or spread of this information. Any use of this information is at the user's own risk. --> <sect> Dénégation de responsabilités <p> Les informations contenues dans ce document peuvent changer sans préavis. Elles sont présentées <it/en l'état/, et leur utilisation constitue une acceptation de cette condition. Elles ne sont nullement garanties. En aucun cas l'auteur ou le traducteur ne pourront être tenus responsables des dommages pouvant résulter directement ou indirectement de l'usage ou de la diffusion de ces informations. Tout usage se fait aux risques de l'utilisateur lui-même. <sect> Adresse de l'auteur <p> Vous pouvez envoyer vos suggestions, mise-à-jour et commentaires à <verb> Christopher Klaus <cklaus@shadow.net> Internet Security Systems, Inc. <iss@shadow.net> Internet Security Systems, Inc. 2209 Summit Place Drive, Atlanta,GA 30350-2430. (404)998-5871. </verb> <!-- Address of Author Please send suggestions, updates, and comments to: Christopher Klaus <cklaus@shadow.net> of Internet Security Systems, Inc. <iss@shadow.net> - Christopher William Klaus <cklaus@shadow.net> <iss@shadow.net> Internet Security Systems, Inc. Computer Security Consulting 2209 Summit Place Drive, Penetration Analysis of Networks Atlanta,GA 30350-2430. (404)998-5871. --> </article>