[Ubuntu-QC] FTP et sécurité

[David Montminy]

Gilbert Dion wrote:
> Laisser le port 21 ouvert pour l'accès au serveur FTP présente-t-il du 
> danger pour la sécurité de mon système? Comme on peut le lire sur le 
> site de Gibson Research Corporation (grc.com <http://grc.com> - exécutez 
> le programme Shields Up! de ce site, qui vérifie les ports ouverts et 
> les risques qui y sont associés):
> /
> /
> /«FTP servers have many known security vulnerabilities and the payoff 
> from exploiting an insecure FTP server can be significant. This system's 
> open FTP port is inviting intruders to examine your system more closely.»/
> 
> Mon Firewall (Firestarter) bloque toutes les connections entrantes saut 
> celle liée à FTP où tout le monde peut venir se servir. Mais comme ceux 
> qui exploitent ce genre d'ouverture s'en prennent généralement à 
> Windows, je suppose que je peux dormir tranquille? À moins qu'il y ait 
> des mesures à prendre pour Linux/Ubuntu itou?
> 
> Gilbert 
> 

Le problème de FTP c'est qu'il s'agit d'un protocol qui a été pensé bien 
avant la venue d'internet "commercial" (Le premier brouillon date de 
1971, le RFC "final" date de 1985). FTP a plusieurs problèmes:

1) L'authentification se fait en clair, sans encryption.
2) FTP utilise 2 ports: le port 21 et un port dynamique, choisi a chaque 
connection... ce qui rend la configuration des pare-feu (firewall) et 
des routers particulièrement problématique....
http://www.ncftp.com/ncftpd/doc/misc/ftp_and_firewalls.html

À mon avis les alternatives sont meilleures:
1) SCP: Secure copy, une extention du protocole SSH qui permet de 
transfére des fichiers. Aucune configuration spéciale nécessaire sinon 
ouvrir le port SSH (port 22)
http://fr.wikipedia.org/wiki/Secure_copy
2) Webdav: un peu plus compliqué à installer et configurer, mais ce 
protocole est supporté nativement sur toutes les platformes. (incluant 
Windows 98)
http://fr.wikipedia.org/wiki/WebDAV

3) Dropbox ou Ubuntu-one permet de synchroniser des fichiers à distance
http://en.wikipedia.org/wiki/Dropbox_%28storage_provider%29
http://en.wikipedia.org/wiki/Ubuntu_One


David Montminy