Bezpecne FTP

zdenal · 2015-11-26 22:19:52

Vcera jsem si zakoupil program Plus pro svou domenu polach.me. Duvodem je to, ze Endora podporuje SSL bez nutnosti vyhrazene IP adresy.

Dnes se pokousim migrovat muj web na hosting, ale nemohu zprovoznit ZADNY zpusob, jak nahrat soubory zabezpecene. Nasel jsem na foru, ze SFTP neni podporovano, ale FTPS by melo jet. Server

kocicka.endora.cz

jakekoli pokusy o SSL/TLS uspesne odmita. A to jak z FileZilla tak z Total Commanderu.

Jak prosim mohu spravovat svuj Web zabezpecene ?

Dekuji

JF · 2015-11-26 22:25:17

SSL (https) na doméne a FTPS/SFTP sú 2 rozdielne veci.
Aktuálne u Endory nieje možné použiť zabezpečené spojenie na FTP ( http://www.endora.cz/podpora/napoveda/9 … e-pripojit )

zdenal · 2015-11-26 22:40:01

JIste. ja se tak trochu bezpecnosti zabyvam a rozdil je mi znam, i kdyz u FTPS jde o SSL/TLS take.

A prave proto ze se bezpecnosti zivim, je situace ze prenos je nezabezpecen pro mne sokujici. Schvalne jsem hledal pred platbou na vasem foru a nasel nekolik prispevku o podpore sifrovaneho prenosu souboru na hosting - jinak bych k vam nesel.

Odposlech hesla nebo souboru == plny pristup k memu webu, neb napriklad heslo k DB musi byt u wordpress v textove forme ve wp_config.php. Stejne tak mi muze nekdo spojeni unest a nahrat tam treba modifikovany plugin atd.. Kudy jsou data routovany k vam nemohu ovlivnit a tedy ani kdo je jak uvidi...

Pokud tedy nepodporujete sftp/ftps, coz je v roce 2015 velmi prekvapive, jak jinak mohu nahrat cely obsah sveho webu k vam na server a bezpecne a komforne jej upravovat ?

Dekuji za odpoved

Upravil zdenal (2015-11-26 22:41:38)

jp007 · 2015-11-28 09:10:11

Podle všeho by mělo snad FTPS fungovat. Nastavení ve Filezille mám následující:

Hostitel: ftp2.endora.cz (nutno upravit podle čísla serveru, na kterém máte umístěny weby)
Šifrovávání: Vyžadovat explicitní FTP přes TLS
Režim přenosu: Pasivní

Je ale také možné, že novější servery už FTPS nepodporují... :-/

zdenal · 2015-11-28 09:45:38

ne kocicka.endora.cz ho nepodporuje ani nahodou. Vypada to, ze to funguje jak se komu zachtelo to nakonfigurovat. Dost desiva predstava...

A ani podpora nejak nepodporuje. Nemuzu rozjet spoustu dalsich veci a nic. Ze ja neco platil...

JF · 2015-11-28 13:39:25

Prosím použite pre pripojenie ftps://kocicka.stable.cz

xtonda · 2015-11-29 21:53:21

Je v tom pěkný guláš, já sem na serveru zajicek a administrace ukazuje, že se mám FTPkem připojovat na zajicek.endora.cz, ale tam FTPS nefunguje.

Když zkusím ftp2.endora.cz nebo zajicek.stable.cz (oba vedou na stejnou IP) tak FTPS jede, ovšem tyhle adresy aby jeden vyvěštil z křišťálové koule.

wapitodecz · 2017-06-26 11:12:37

Může prosím někdo ověřit zda funguje FTPs na konik.endora.cz? Jsem myslel, že nešifrované FTP dneska už nikdo nepoužívá, ale tady se asi zastavil čas poněkud koukám...

JF · 2017-06-27 06:07:48

Pre šifrované spojenie prosím použite server konik.stable.cz

hamacekh · 2018-02-26 10:41:55

Zkusil jsem konik.stable.cz, sftp, port 22 a "Connection timed out while waiting for handshake".
Žádnou dokumentaci k připojení přes zabezpečené ftp jsem nenašel. Zdá se, že endora v roce 2018 stále nepodporuje způsob jak šifrovaně nahrávat webové stránky (jinak než přes webové rozhraní)?

JF · 2018-02-27 07:12:48

sftp nieje podporované keďže sa jedná o zdielaný webhosting a podpora ssh nieje povolená, použiť je možné ftps na porte 21

psl4fancz · 2019-05-24 02:58:38

JF napsal:

sftp nieje podporované keďže sa jedná o zdielaný webhosting a podpora ssh nieje povolená, použiť je možné ftps na porte 21

Je mozne uvest priklad, jak to udelat? Treba s CLI klientem "lftp"? lftp je bezne dostupny klient pro Linux...
Toto funguje, ale pouziva se obycejne, nezabezpecene, FTP:

lftp -e "ls" ftp://username:heslo@mevidek.endora.cz

Muzete uvest priklad jak se pripojit pomoci ftps s lftp klientem?

Pokud udelam toto, dostanu error:

lftp -d -e "ls" ftps://username:heslo@mevidek.endora.cz

---- Resolving host address...
---- 2 addresses found: 2a01:28:ca:63:120:160::, 88.86.120.160
---- Connecting to medvidek.endora.cz (2a01:28:ca:63:120:160::) port 990
**** connect(control_sock): Network is unreachable
---- Closing control socket
---- Connecting to medvidek.endora.cz (88.86.120.160) port 990
**** Socket error (Connection refused) - reconnecting
---- Closing control socket

A pokud si vynutim port 21, take dostanu error:

lftp -d -p21 -e "ls" ftps://username:heslo@mevidek.endora.cz

---- Resolving host address...
---- 2 addresses found: 2a01:28:ca:63:120:160::, 88.86.120.160
---- Connecting to medvidek.endora.cz (2a01:28:ca:63:120:160::) port 21
**** connect(control_sock): Network is unreachable
---- Closing control socket
---- Connecting to medvidek.endora.cz (88.86.120.160) port 21
**** gnutls_handshake: An unexpected TLS packet was received.
---- Closing control socket
ls: Fatal error: gnutls_handshake: An unexpected TLS packet was received.

Upravil psl4fancz (2019-05-24 03:15:37)

JF · 2019-05-25 20:04:58

Dobrý den, pro připojení přes IPv6 použijte prosím k tomu patřičný server, viz https://www.endora.cz/podpora/napoveda/ … omoci-ipv6

psl4fancz · 2019-05-27 13:11:42

JF napsal:

Dobrý den, pro připojení přes IPv6 použijte prosím k tomu patřičný server

Nechtel jsem se pripojovat pres IPv6, "lftp" ale nema parametr, ktery by vynutil IPv4 a protoze DNS zaznam medvidek.endora.cz ma i IPv6 adresu, nejprve se zkousi IPv6 adresa. Proto je tam prvni error, ze se nelze pripojit na IPv6 adresu; to me ale moc nezajimalo, protoze nemam IPv6 konektivitu. Pokud je pripojeni na "ftps" omezeno na IPv6, tak je to pekny "opruz"...

Nicmene pokud to zkusim z pocitace, ktery ma IPv6 konektivitu, tak mi to take nefunguje...

IPv6 moc nerozumim, ale rekl by jsem, ze ty IPv6 adresy jsou spatne (konci 0)! A pokud nejsou spatne, tak se tam stejne nepripojim. A pokud se pripojim, dostanu chybu TLS certfikatu (nesouhlasi subject s domenovym jmenem, tedy spate vygenerovany certifikat, certifikat pro jiny host).

$ host medvidek.endora.cz
medvidek.endora.cz has address 88.86.120.160
medvidek.endora.cz has IPv6 address 2a01:28:ca:63:120:160::

$ host medvidek6.endora.cz
medvidek6.endora.cz has IPv6 address 2a01:28:ca:63:120:253::

$ host slonice6.endora.cz
slonice6.endora.cz has IPv6 address 2a01:28:ca:63:120:99::

$ host zajicek6.endora.cz
zajicek6.endora.cz has IPv6 address 2a01:28:ca:63:120:249::

Jak jsem psal, s IPv6 je jeste prilis mnoho problemu, nez aby jsem s tim ztracel cas, ale pokud vidim ze adresa konci "::" tak si myslim, ze to je spatne...

Dokonce mam dojem, ze prestalo fungovat i obycejne ftp na IPv4, na medvidek.endora.cz se jiz nepripojim...

$ lftp -d -e "ls" ftp://username:heslo@medvidek.endora.cz

---- Connecting to medvidek.endora.cz (2a01:28:ca:63:120:160::) port 21
**** connect(control_sock): Network is unreachable
---- Closing control socket
---- Connecting to medvidek.endora.cz (88.86.120.160) port 21
<--- 220 server ready - login please
---> FEAT
<--- 530 login first             
---> AUTH TLS
<--- 530 login first            
---> USER username
<--- 331 password required 
---> PASS heslo
**** Peer closed connection      
---- Closing control socket
Interrupt

UPDATE: IPv6 adresa "2a01:28:ca:63:120:160::" je validni, po expanzi je to "2a01:0028:00ca:0063:0120:0160:0000:0000", coz je sice nezvykle, ale je to validni IPv6 adresa. V tom problem neni.

Upravil psl4fancz (2019-06-05 11:50:22)

JF · 2019-05-28 19:58:02

Zkuste prosím použít FTP server: medvidek.stable.cz jestli se tím vaše problémy vyřeší.

psl4fancz · 2019-06-05 11:48:57

JF napsal:

Zkuste prosím použít FTP server: medvidek.stable.cz jestli se tím vaše problémy vyřeší.

Ano, na medvidek.stable.cz je to ftp lepsi, pripojim se zrejme s pouzitim TLS, jen ten certfikat neni uplne spravny...

$ lftp -d -e "ls" ftp://username:heslo@medvidek.stable.cz
---- Connecting to medvidek.stable.cz (88.86.120.253) port 21
<--- 220 FTP Server ready. 
---> FEAT
<--- 211-Features:               
<---  MDTM
<---  SSCN
<---  TVFS
...
<---  EPSV
<---  LANG ja-JP;ko-KR;ru-RU;zh-CN;en-US;fr-FR;bg-BG;zh-TW;it-IT;es-ES
<--- 211 End
---> AUTH TLS
<--- 234 AUTH TLS successful    
---> LANG
Certificate: C=CZ,ST=Czech,L=Prague,O=Endora.cz,CN=srv7.endora.cz,EMAIL=root@stable.cz
 Issued by: C=CZ,ST=Czech,L=Prague,O=Endora.cz,CN=srv7.endora.cz,EMAIL=root@stable.cz
WARNING: Certificate verification: Not trusted
WARNING: Certificate verification: certificate common name doesn't match requested host name ‘medvidek.stable.cz’
<--- 200 Using default language en_US.UTF-8
---> OPTS UTF8 ON
<--- 451 Unable to accept OPTS UTF8
...
---> USER username
<--- 331 Password required for username
---> PASS heslo
<--- 230 User username logged in.
---> PWD
<--- 257 "/" is the current directory
---> PBSZ 0
<--- 200 PBSZ 0 successful
---> PROT P
<--- 200 Protection set to Private
---> PASV
<--- 227 Entering Passive Mode (88,86,120,253,238,249).
---- Connecting data socket to (88.86.120.253) port 61177
---- Data connection established
---> LIST
<--- 150 Opening ASCII mode data connection for file list
...

Protoze se pripojuji k "medvidek.stable.cz" a certifikat je pro "srv7.endora.cz" tak FTP klient protestuje... FTP klient se pripoji a prenos je zrejme sifrovany pres TLS.

Pokud by jste to chteli ladit, tak tady je jednoduchy skript pro opakovane testovani; script je nakonfigurovan, aby vyzadoval TLS pripojeni a duveryhodny certifikat:

$ cat ftp-test-endora.sh 
#!/bin/sh

SERVER="medvidek.stable.cz"
USER="username"
PASS="heslo"

lftp -d "ftp://$USER:$PASS@$SERVER" << EOF
# the next 2 lines force TLS mode
set ftp:ssl-force true
set ftp:ssl-protect-data true
# force certificate verification
set ssl:verify-certificate true
# force TLSv1.1 or TLSv1.2
set ssl:priority NORMAL:+VERS-TLS1.1:+VERS-TLS1.2
#debug 13
ls
exit
EOF

Vlastni certifikat pak lze ziskat treba timto prikazem:

$ openssl s_client -connect medvidek.stable.cz:21 -starttls ftp < /dev/null

A kdyz jsme ziskali certifikat tak lze zkontrolovat, zda neni vygenerovan algoritmem SHA1, ktery je v soucasne dobe jiz prekonany. Nove certifikary se jiz nejakou dobu generuji algoritmem SHA256...

$ openssl x509 -text -in srv7_endora_cz.pem

Upravil psl4fancz (2019-06-05 13:12:38)

jiriolah · 2019-06-21 13:12:50

Dobry den,
omlouvam se za zpozdenou reakci. Muzete prosim vyzkouset nyni? Nasadil jsem na server wildcard stable.cz. Dekuji
Pro rychlejsi komunikaci muzete vyuzit napriklad email kontakt info@endora.cz

#1 2015-11-26 22:19:52

Bezpecne FTP

#2 2015-11-26 22:25:17

Re: Bezpecne FTP

#3 2015-11-26 22:40:01

Re: Bezpecne FTP

#4 2015-11-28 09:10:11

Re: Bezpecne FTP

#5 2015-11-28 09:45:38

Re: Bezpecne FTP

#6 2015-11-28 13:39:25

Re: Bezpecne FTP

#7 2015-11-29 21:53:21

Re: Bezpecne FTP

#8 2017-06-26 11:12:37

Re: Bezpecne FTP

#9 2017-06-27 06:07:48

Re: Bezpecne FTP

#10 2018-02-26 10:41:55

Re: Bezpecne FTP

#11 2018-02-27 07:12:48

Re: Bezpecne FTP

#12 2019-05-24 02:58:38

Re: Bezpecne FTP

#13 2019-05-25 20:04:58

Re: Bezpecne FTP

#14 2019-05-27 13:11:42

Re: Bezpecne FTP

#15 2019-05-28 19:58:02

Re: Bezpecne FTP

#16 2019-06-05 11:48:57

Re: Bezpecne FTP

#17 2019-06-21 13:12:50

Re: Bezpecne FTP

Zápatí