Servidor ProFTPd seguro com TLS,SSL e MySQL

Colaboração: Tiago Cruz

Data de Publicação: 12 de Setembro de 2005

Servidor ProFTPd seguro com TLS/SSL e MySQL Por: Luis Nardella (luis.nardella AT gmail.com) e Tiago Cruz (tiagocruz AT linuxrapido.org) Última atualização: Mon Jul 15 12:37:21 2024

Introdução

Este documento sugere a instalação de um ambiente de FTP confiável através de criptografia usando chaves TLS/SSL, seguro por não utilizar usuários do sistema (e sim usuários virtuais), flexível com sua administração via web de fácil utilização, e escalável guardando as informações em um banco de dados baseado em SQL.

As instruções estão baseadas em um sistema rodando FreeBSD, mas podem (e devem) ser usadas em outros sabores do Unix/ Linux.

ProFTPd

A versão atual é a proftpd-1.3.0.r2, e a mesma deverá ser compilada com suporte a MySQL e SSL, para tanto:

  # cd /usr/ports/ftp/proftpd
  # make config
  # make install clean

Certifique-se de marcar as opções "MYSQL" e "OPENSSL"!

ProFTPd_Admin

A versão atual é a proftpd_admin_v0.7, e a mesma deverá ser baixada do site oficial e descompactada em um lugar acessível pelo apache e preferencialmente protegido por usuário e senha pelo htpasswd.

Ex: /var/www/htdocs/dominio.com/ftp/

Onde ftp é um link simbólico para proftpd_admin_v0.7, e a URL final fica http://dominio.com/ftp

Use o arquivo de configuração padrão dele para adaptar as suas necessidades:

  # cd /var/www/htdocs/dominio.com/ftp/
  # cp misc/sample_config/proftpd.conf /usr/local/etc/proftpd.conf

No proftpd.conf, informe o usuário, senha e etc para a conexão ao MySQL:

  SQLAuthTypes        Backend
  SQLAuthenticate     users
  SQLConnectInfo      proftpd_admin@localhost proftpd senha
  SQLUserInfo         usertable userid passwd uid gid homedir shell
  SQLGroupInfo        grouptable groupname gid members
  SQLUserWhereClause  "disabled=0 and (expiration >= NOW() OR expiration='0000-00-00 00:00:00')"

Consulte o manual de instalação do mesmo em caso de problemas.

MySQL

O ProFTPd_Admin trabalha em conjunto com o MySQL, que deverá estar instalado e rodando neste momento. Para criar a estrutura:

  # cd /var/www/htdocs/dominio.com/ftp/
  # mysql -u root -p < misc/database_structure/db_structure.sql

Teste se o ambiente está funcional antes de ir ao póximo passo.

Criação do Certificado TLS/SSL

Para criar o certificado que o usuário irá aceitar ao acessar o FTP, siga os passos descritos no modssl.org, que se resume em:

• Criação do Certificado:
  Certifique-se de preencher o parâmetro "CommonName" do último comando com um endereço FQDN.

    $ openssl genrsa -des3 -out server.key 1024
    $ openssl rsa -in server.key -out server.key.unsecure
    $ openssl req -new -key server.key -out server.csr
  

• Criação do Certificado de Autoridade (CA):

    $ openssl genrsa -des3 -out ca.key 1024
    $ openssl rsa -in ca.key -out ca.key.unsecure
    $ openssl req -new -x509 -days 365 -key ca.key -out ca.crt
  

Você precisará de um script chamado sign.sh que geralmente vem no pacote mod_ssl do apache. No debian, por exemplo o pacote chama-se libapache-mod-ssl e o arquivo fica em /usr/share/doc/libapache-mod-ssl/examples/sign.sh.

  $ ./sign.sh server.csr

Agora que você tem um CA assinado, você pode validar o certificado criado anteriormente:

  $ openssl x509 -noout -text -in server.crt

Configurando o ProFTPd para usar TLS/SSL

Adicione esse trecho ao seu proftpd.conf, usando o caminho correto dos arquivos .crt:

  <IfModule mod_tls.c>
     TLSEngine on
     TLSLog /var/log/proftpd/tls_log
     TLSProtocol SSLv23
  
     # Se ligado, aceita _apenas_ conexões seguras!
     TLSRequired on
  
     # Server's certificate
     TLSRSACertificateFile     /usr/local/etc/ssl/server.crt
     TLSRSACertificateKeyFile  /usr/local/etc/ssl/server.key.unsecure
  
     # CA the server trusts
     TLSCACertificateFile      /usr/local/etc/ssl/ca.crt
  
     # Authenticate clients that want to use FTP over TLS?
     TLSVerifyClient off
  </IfModule>

Estamos usando o protocolo SSLv23 no lugar do TLSv1 devido a problemas como "wrong version number" depois de de algumas atualizações com o portaudit e portupgrade.

Observações sobre Usuários Virtuais

Ao utilizar o proftpd_admin, você irá notar que os usuários e grupos criados não possuem entrada no /etc/passwd e no /etc/groups.

Por exemplo, meu grupo "users" possui o GID 10001, e meu usuário "teste" possui UID 10000. Então, dê pemissão no diretório assim:

  # mkdir -p /var/ftp/teste
  # chown 10000:10001 /var/ftp/teste

Se você desejar que via FTP os arquivos criados sejam acessíveis para usuários de outro grupo, use o "umask 002" no seu proftpd.conf.

This work is licensed under a Creative Commons Attribution-NonCommercial-ShareAlike 2.0 Brazil License