WEBMESTRE : CONCEPTION DE SITES ET ADMINISTRATION DE SERVEURS WEB Installation et administration d un serveur web Module 25793 TP A5 (1/2 valeur) Chapitre 14 Mise en place d un serveur ftp
Le plus grand soin a été apporté à la réalisation de ce support pédagogique afin de vous fournir une information complète et fiable. Cependant, le Cnam Champagne-Ardenne n'assume de responsabilités, ni pour son utilisation, ni pour les contrefaçons de brevets ou atteintes aux droits de tierces personnes qui pourraient résulter de cette utilisation. Les exemples ou programmes présents dans cet ouvrage sont fournis pour illustrer les descriptions théoriques. Ils ne sont en aucun cas destinés à une utilisation commerciale ou professionnelle. Le Cnam ne pourra en aucun cas être tenu pour responsable des préjudices ou dommages de quelque nature que ce soit pouvant résulter de l'utilisation de ces exemples ou programmes. Tous les noms de produits ou autres marques cités dans ce support sont des marques déposées par leurs propriétaires respectifs. Ce support pédagogique a été rédigé par Michel Melcior, enseignant vacataire au Cnam Champagne-Ardenne. Copyright 2001-2003 Centre d'enseignement A Distance du Cnam Champagne-Ardenne. Tous droits réservés. Toute reproduction, même partielle, par quelque procédé que ce soit, est interdite sans autorisation préalable du Cnam Champagne-Ardenne. Une copie par xérographie, photographie, film, support magnétique ou autre, constitue une contrefaçon passible des peines prévues par la loi, du 11 mars 1957 et du 3 juillet 1995, sur la protection des droits d'auteur.
MISE EN PLACE D UN SERVEUR FTP : PROFTPD 1. OBJECTIFS En fin de séance, vous devriez être capable de : Mettre en œuvre un serveur FTP (Proftpd). Sécuriser les accès de votre serveur FTP. 2. INTRODUCTION. Le protocole FTP (File Transfert Protocol) est destiné aux transferts de fichiers. FTP a été défini par Postel et Reynolds en 1985 dans la RFC 959. Il est couramment utilisé par les concepteurs de sites web pour la mise à jour de pages. On ne peut pas envisager de mettre en place un serveur web sans y ajouter un serveur FTP pour son alimentation. On distingue deux sens de transmission : Du serveur vers le client (download). Du client vers le serveur (upload). Il est assez simple de mettre en place un serveur FTP basique avec une distribution Linux Mandrake. Le serveur retenu pour cette distribution s'appelle Proftpd. Les informations sur ce serveur sont disponibles sur le site : http://www.proftpd.org/ Toutefois, la mise en place d'un serveur FTP pose quelques problèmes de sécurité qui seront abordés dans la séance suivante. Avant toute chose, nous allons étudier les commandes côté client FTP. 3. LES CLIENTS FTP. Sous Windows ou UNIX, vous disposez d'un client FTP gratuit disponible en lignes de commandes. Il vous suffit d'ouvrir une console et de saisir : ftp [adresse IP ou nom de serveur FTP] Exemples : ftp 192.168.10.3 ftp ftp.lip6.fr Une connexion va s'établir entre votre poste et le serveur demandé. Il sera suivi d'un processus de login où vous devrez entrer un nom et un mot de passe valide pour être accepté par le serveur. Vous aboutirez ensuite sur un répertoire du serveur et vous pourrez télécharger ou envoyer des fichiers suivant les droits qui vous auront été accordés. Installation et administration d un serveur web 1
Lorsque vous vous êtes identifié, la session démarre. Vous disposez d'un ensemble de commandes. Le rappel des commandes est possible avec? Les principales commandes sont : quit (pour terminer une session). cd (se déplacer dans le système de fichiers distant). ls, dir (explorer le système de fichiers, ls -l avec détails). put (envoyer un fichier vers l'hôte distant). get (charger un fichier depuis l'hôte distant). ascii (passe en mode de transfert texte, c'est le mode par défaut). binary (passe en mode de transfert binaire, pour les programmes). mget [nom incomplet de fichier distant terminé par *] (charge de multiples fichiers). mput [nom incomplet de fichier local terminé par *] (envoi de multiples fichiers). mkdir, rmdir (ajout, suppression de répertoire distant). chmod (changement des droits d'un fichier distant). delete (détruit un fichier distant). hash (bascule dans un mode où un "#"par Ko transféré est imprimé). lcd (changement de répertoire localement).! (échappement shell, vous permet d'effectuer une commande locale). Il existe bien sûr des clients graphiques pour le protocole FTP (disponibles sur www.telecharger.com). Mais, il est toujours utile d'avoir quelques rudiments du mode ligne de commandes. Vous pouvez tester le serveur FTP de votre fournisseur d'accès. La plupart des fournisseurs offrent à leur client un serveur FTP pour mettre en ligne leurs pages personnelles. Si vous ne connaissez pas le nom du serveur FTP de votre FAI, vous pouvez utiliser celui-ci pour des tests : ftp.lip6.fr Il s'agit d'un serveur universitaire Parisien. L'accès n'est possible qu'en lecture seule et avec un login spécial appelé anonyme. Il faut donner anonymous comme nom d'utilisateur et une adresse email (valide ou non) en guise de mot de passe. Exemple : anonymous toto@toto.com Ces serveurs FTP anonymes sont très utilisés pour la mise à disposition de logiciels. Connectez vous en ligne de commande et explorez ce serveur. Pensez aux ls -l pour afficher les répertoires! Mise en place d un serveur ftp 2
4. LE SERVEUR PROFTPD. Le choix de ce serveur par Mandrake est judicieux dans la mesure où son concurrent (wu-ftpd sur RedHat) est nettement plus délicat à mettre en œuvre pour un débutant. Il vous suffit de vérifier que le package est bien installé avec un rpm qa grep proftpd Si c'est le cas, votre serveur est déjà à l'écoute. Faites un bilan des ports ouverts avec un netstat a more Le port 21 (FTP) devrait figurer parmi la liste des ports ouverts (LISTEN). Normalement, FTP utilise deux connexions TCP pour transporter un fichier entre le client et le serveur : La première connexion FTP est appelée connexion de contrôle, et s'établit entre le port TCP 21 du serveur et un port aléatoire du client (>1024). Cette connexion permet au client d'envoyer des commandes au serveur, en texte clair, et de recevoir les réponses du serveur. Elle reste active pendant toute la durée de la session FTP. La deuxième connexion est appelée connexion de données, et va être créée chaque fois que l'on va transférer un fichier entre le client et le serveur, généralement entre le port 20 du serveur et un port aléatoire du client(>1024). Le port 21 est aussi appelé FTP-CMD le port 20 FTP-DATA. Vous allez tester le fonctionnement de votre serveur FTP en entrant la commande : ftp 127.0.0.1 (ou mieux, si vous disposez d'un petit réseau local, essayez à partir d'un autre poste que votre serveur Linux). Entrez ensuite un compte d'utilisateur valide ainsi que son mot de passe. Vous n'avez pas le droit d'utiliser le compte root pour des raisons de sécurité. A quel endroit de l'arborescence aboutissez vous? Déplacez vous, téléchargez et envoyez des fichiers. On quitte une session FTP avec la commande bye. 5. LES PROBLEMES DE SECURITE. N'oubliez jamais qu'à partir du moment où vous mettez en place un serveur FTP, vous ouvrez la possibilité de transférer des fichiers (client->serveur ou serveur->client) depuis un poste distant. Il suffit de connaître un login et mot de passe valide pour ouvrir une session FTP. Sans quelques précautions vous risquez, en tant qu'administrateur de serveur, de vivre des moments difficiles. La première précaution est d'interdire à root d'ouvrir des sessions FTP. Imaginez ce qui peut vous arriver si un inconnu arrive à placer des exécutables avec des droits root. D'une manière plus générale, on interdit les sessions FTP à tous les comptes système (les premières lignes du fichier /etc/passwd). Installation et administration d un serveur web 3
Pour interdire l'accès FTP à un utilisateur UNIX, il suffit de placer le nom du compte dans le fichier /etc/ftpusers. Un exemple : root bin boot daemon guest nobody Un deuxième problème est posé par la navigation dans le système de fichiers rendue possible via FTP. Avez vous essayé d'ouvrir une session FTP sous un compte ordinaire puis d'entrer les commandes : cd.. ls la Vous remarquerez qu'il est possible de remonter l'arborescence et d'accéder en téléchargement à des fichiers situés en dehors du répertoire personnel. Essayez, via FTP, de télécharger le fichier /etc/passwd. La plupart des fichiers système doivent rester accessibles en lecture à tous les utilisateurs. Il n'est pas possible de résoudre le problème posé par FTP avec les droits UNIX. Pour assurer une sécurité efficace, il faut utiliser une méthode permettant de cantonner l'utilisateur FTP dans son espace réservé. Cette méthode s'appelle le chroot. 6. CHROOT (DERACINEMENT). Chroot vient de l'anglais "changes the root directory of a command". Cette commande modifie l'emplacement de la racine du système de fichier, par exemple pour leurrer un programme afin que des utilisateurs mal intentionnés ne puissent pas s'aventurer dans la vraie racine du système de fichiers. Une traduction de chroot pourrait être déracinement. Un utilisateur "chrooted" (déraciné) ne peut plus accéder à la vraie racine / du système de fichiers. Un exemple : L'utilisateur eric possède un répertoire personnel /home/eric. Si on arrive à le déraciner sur /home/eric au travers d'un accès FTP, l'utilisateur eric sera cantonné dans /home/eric qu'il prendra pour la racine du système de fichier /. Toute tentative d'effectuer un cd.. à partir de /home/eric restera sans effet. Il ne pourra pas remonter plus haut dans l'arborescence. Cette technique n'est pas seulement utilisée dans les serveurs FTP. On la rencontre également pour sécuriser d'autres services (serveurs de courrier, serveurs DNS ). Elle nécessite en général de bonnes connaissances pour sa mise en œuvre. Heureusement, proftpd permet de réaliser un chroot sans efforts. Le fichier de configuration de proftpd est /etc/proftpd.conf. Mise en place d un serveur ftp 4
L'intégralité des directives disponibles est accessible à l'url : http://www.proftpd.org/docs/ Nous allons nous servir de la directive DefaultRoot qui permet de définir une nouvelle racine pour des accès déracinés. Syntaxe : DefaultRoot [ directory [group-expression]] Exemple : DefaultRoot /home/prison utils Tous les utilisateurs du système membres du groupe utils, seront déracinés dans le répertoire /home/prison lors de leurs accès FTP. Cette directive DefaultRoot n'existe pas dans le fichier installé par défaut. C'est à vous de l'ajouter. Il faudrait à présent personnaliser le déracinement en fonction de l'identité de l'utilisateur connecté. Chaque utilisateur devrait être déraciné dans son répertoire personnel. Nous allons utiliser le caractère "~" qui signifie répertoire personnel dans le monde UNIX. On obtient : DefaultRoot ~ utils Mettez en place cette sécurité sur votre serveur FTP et testez la. Vous utiliserez un compte ordinaire puis vous essayerez de remonter l'arborescence après avoir ouvert une session FTP. Note : n'oubliez pas de redémarrer le deamon proftpd après chaque modification de configuration ( /etc/rc.d/init.d/proftpd start/stop ). Installation et administration d un serveur web 5