✎ serveur:mysecureshell_sftp-server [Wiki ubuntu-fr]

Vous affichez une ancienne révision du document ! Si vous l'enregistrez, vous créerez une nouvelle version avec ce contenu.

{{tag>serveur ftp}}
  Version: Ubuntu

====== Serveur SFTP : MySecureShell ======

===== À propos de MSS =====

MySecureShell (MSS) est un logiciel s'appuyant sur le chiffrage très poussé SSH et sur son ftp sécurisé "sftp-server". MySecureShell est un shell qui va permettre d'ajouter plusieurs fonctionnalités à sftp-server et qui va se rapprocher des grands serveurs ftp tel que ProFtpd.
Les avantages de MySecureShell sont qu'il s'appuie sur le protocole très sécurisé appelé SSH et qu'il permet un chiffrement complet des données et des requêtes émises. Il est très simple à installer, à utiliser et hautement configurable.

Site officiel : [[http://mysecureshell.sourceforge.net/]]\\
Pour plus d'aides un [[http://mysecureshell.free.fr/|forum]] est disponible.

**Pourquoi installer MySecureShell (sftp - Secure File Transfert Protocol) au lieu d'un serveur FTPS (File Transfert Protocol over SSL) ?**

Voici les différentes motivations d'un tel choix :
  * Simplicité d'installation.
  * Puissance de chiffrement d'OpenSSH qui est développé pour la protection des données (shell distant).
  * Pas de problèmes de certificat non-certifié (car payant pour qu'il soit certifié authentique) ou de génération de certificat.
  * Support des clefs privées et publiques pour une authentification sans mot de passe.
  * Un unique port à ouvrir pour le SSH et SFTP (port 22 par défaut).
  * C'est une question de choix qui ne coûte rien si l'on veut essayer.

**Mais alors pourquoi ne pas utiliser un client SCP ?**

Le problème vient du compte crée pour l'utilisateur qui doit utiliser un shell valide pour se connecter au serveur à l'aide d'un logiciel SCP.
Ce choix implique l'existence d'une grande confiance en l'utilisateur.
Avec MySecureShell, le client n'est pas obligé de posséder un shell valide qui pourrait nuire a la sécurité du serveur.

----

===== Installation de MSS =====

Prérequis :
Le paquet **openssh-server** doit être installé.
<note help>Pour en savoir plus sur SSH vous pouvez lire cette [[:ssh|documentation]].</note>

J'ai choisi de vous montrer deux méthodes d'installation, le paquet deb et le script.

==== Avec le paquet deb :====

* Pour la version 32bits : téléchargez le paquet [[http://belnet.dl.sourceforge.net/sourceforge/mysecureshell/mysecureshell_0.95_i386.deb| mysecureshell_0.95_i386.deb]]
  * Pour la version amd64 : téléchargez le paquet [[http://belnet.dl.sourceforge.net/sourceforge/mysecureshell/mysecureshell_0.95_amd64.deb|mysecureshell_0.95_amd64.deb]]

Puis [[:tutoriel:comment_installer_un_paquet|installez le paquet téléchargé]].

<note>il faut également [[:tutoriel:comment_installer_un_paquet|installer le paquet]] **libssl.0.9.8** (universe)</note>

==== Avec le script :====

* Télécharger [[http://sourceforge.net/project/showfiles.php?group_id=117807&package_id=128312|MySecureShell-linux-i686-0.9.tgz
]] et taper dans un terminal ce qui suit:
  
  $ cd répertoire où se trouve "MySecureShell-linux-i686-0.9.tgz"
  $ tar xvzf MySecureShell-linux-i686-0.9.tgz
  $ sudo sh install.sh fr

* Répondre aux questions par "y" ou "n". Pour plus de précisions consulter cette [[http://mysecureshell.sourceforge.net/fr/installshscript.html#Install|page]]

==== Vérification :====

Pour vérifier et corriger d'éventuels problèmes sur le serveur, utiliser la commande sftp-verif dans un terminal avec les droits root.

$ sudo sftp-verif
    
  #################################################
  #       MySecureShell Verification Tool         #
  #################################################
  **Verifing file existance**
  Verifing file existance of /bin/MySecureShell                   [ OK ]
  Verifing file existance of /usr/bin/sftp-who                    [ OK ]
  Verifing file existance of /usr/bin/sftp-kill                   [ OK ]
  Verifing file existance of /usr/bin/sftp-state                  [ OK ]
  Verifing file existance of /usr/bin/sftp-admin                  [ OK ]
  Verifing file existance of /usr/bin/sftp-verif                  [ OK ]
  Verifing file existance of /usr/lib/sftp-server_MSS             [ OK ]
  Verifing file existance of /etc/ssh/sftp_config         [ OK ]
  ** Reasigning good rights **
  Reasignement of good rights                                     [ OK ]
  ** Verifing rotation logs **
  MySecureShell rotation logs                                     [ OK ]
  ** Verifing server status **
  Verifing server status (ONLINE)                                 [ OK ]

Vous pouvez obtenir l'erreur suivante dans sftp-verif :

''error while loading shared libraries: libidn.so.11: cannot open shared object file: No such file or directory''

Il vous suffit d'[[:tutoriel:comment_installer_un_paquet|installer le paquet]] **libidn11** pour y remédier.

Si vous obtenez l'erreur suivante :

''/usr/bin/sftp-state: error while loading shared libraries: libcrypto.so.0.9.7: cannot open shared object file: No such file or directory''

Il vous suffit d'exécuter la commande :
<code>sudo ln -s /usr/lib/libcrypto.so.0.9.8 /usr/lib/libcrypto.so.0.9.7</code>

===== Gestion des utilisateurs =====

Créer maintenant les utilisateurs autorisés à faire du sftp et autorisés à ne faire que du sftp. Pour fixer les idées, je vais créer l'utilisateur toto et lui attribuer comme dossier personnel /home/toto :

<code>sudo adduser --home /home/toto --shell /bin/MySecureShell toto</code>

Mais il y a plus simple, l'outil graphique vous permet désormais de gérer les clients !!! :-)

===== Connexion au serveur sftp =====

Les tests qui suivent sont fait avec le programme [[:lftp|lftp]]. Il est normalement présent par défaut dans les distributions Ubuntu.
Dans le cas contraire, il suffit d'[[:tutoriel:comment_installer_un_paquet|installer le paquet]] **lftp**.

D'autres clients comme [[http://www.mkssoftware.com/docs/man1/sftp.1.asp|sftp]] et [[:gftp|Gftp]] gèrent aussi le sftp.

=== Tester en local :===

$ lftp sftp://toto@localhost

Après avoir entré le mot de passe, vous devriez obtenir ceci :

$ lftp toto@localhost:~>

En cas de problème vérifier que le fichier sftp-server_MSS se trouve bien dans le répertoire /usr/lib/openssh/ . Si ce n'est pas le cas vous pouvez le copier à partir de /usr/lib/

=== Tester en réseau :===

> Le port 22/TCP doit être ouvert.

$ lftp sftp://toto@IP_du_Serveur

Si vous obtenez l'invite ci-dessous c'est que ça marche.
Code:

$ lftp toto@IP_du_Serveur:~>

Pour plus de renseignements sur lftp

$ man lftp

===== Paramétrage avec l'outil graphique java =====

L'environnement [[:Java]] doit être installé dans votre système.

Télécharger [[http://mesh.dl.sourceforge.net/sourceforge/mysecureshell/MSS_Frontend_v1.6.zip|MSS_Frontend_v1.6.zip]] sur le site officiel et taper dans un terminal ce qui suit:
<code>unzip MSS_Frontend_v1.6.zip
cd répertoire d'extraction
sudo java -jar sftp-mss.jar</code>

et vous obtiendrez,

{{applications:gajim:interface_graphique_v1.4_pour_mysecureshell_v0.8.png}}

**Sftp-Who** : permet de savoir qui est connecté et de pouvoir déconnecter n'importe quel utilisateur.

**Sftp-State** : permet d'activer ou de désactiver le serveur SFTP et de vérifier son état.

**Config** : permet de faire la configuration du serveur.

**Log** : vous pouvez voir tout ce qui se passe et s'est passé sur votre serveur.

**Connexion distante** : c'est avec cet onglet que vous allez pouvoir administrer à distance votre serveur MySecureShell.

** Paramètres** : Cet onglet permet la localisation de certains fichiers et le choix du langage de l'interface graphique.

===== Lanceur =====

Pour plus de convivialité vous pouvez créer un lanceur grâce à Smeg.
<code>smeg</code>
Et créer une entrée comme suit,

===== Paramétrage manuel ======

Vous souhaitez configurer et administrer votre serveur manuellement, c'est bien sûr possible.

=== sftp_config :===

MSS possède son propre fichier de paramétrage, sftp_config.

$ sudo nano /etc/ssh/sftp_config

Les modifications sont immédiates. Voici toutes les [[http://mysecureshell.sourceforge.net/fr/directives.html|directives]] dont vous pourrez user :-).

Cette [[http://mysecureshell.sourceforge.net/fr/confman.html|documentation]] devrait grandement vous aider.

//(en particulier, modifiez l'encodage ISO-8859-15 par UTF8)//

=== sshd_config :===

La configuration d'[[:ssh#le_fichier_de_configuration_du_serveur_ssh|Openssh-server]] se trouve dans le fichier sshd_config.

$ sudo nano /etc/ssh/sshd_config

Toute modification ne sera prise en compte qu'après un redémarrage du serveur.

$ sudo /etc/init.d/ssh restart

===== Sécurité =====

=== Utilisation des clefs SSH :===

Dans le cas ou vous devez administrer de multiples serveurs, retaper à chaque fois son mot de passe est pénible surtout quand on est déjà logué sur une machine sûre.

Le sujet a déjà été développé sur les pages suivantes que je vous invite à lire:

* [[http://mysecureshell.sourceforge.net/fr/securessh.html#question3|Comment utiliser l'authentification par clefs à la place des mots de passe ?]]
  * [[:ssh#authentification_par_mot_de_passe|wiki SSH]]

=== Se protéger contre le SSH Brute Force :===

Généralement les mots de passe de la plupart des logiciels sont stockés cryptés dans un fichier. Pour obtenir un mot de passe, il suffit de récupérer ce fichier et de lancer un logiciel de brute force cracking. Ce procédé consiste à tester de façon exhaustive toutes les combinaisons possibles de caractères (alphanumériques + symboles), de manière à trouver au moins un mot de passe valide.
Cette attaque se base sur le fait que n'importe quel mot de passe est crackable. Ce n'est qu'une histoire de temps. Mais la puissance des machines double tous les deux ans. De plus, les crackers n'hésitent pas à fabriquer des cartes électroniques de cracking, ce qui améliore en conséquence la rapidité de la machine, et donc les chances de trouver un mot de passe valide.
En général, cette méthode est empruntée lorsque la [[http://www.securiteinfo.com/attaques/cracking/dictionarycracking.shtml|méthode du dictionary cracking]] a échoué.

Pour se faire lire :

* [[http://mysecureshell.sourceforge.net/fr/securessh.html#question1|Peut-on bloquer des intrusions après un certain nombre de tentatives ? ]]
  * [[http://blog.andrew.net.au/2005/02/16#psychologically_scarred|blog.andrew]]

--- //[[|]] 2006/03/04 16:55//

P.S.: Ne gère pas les utilisateurs virtuels, ce qui est logique en SSH

----
Contributeur : [[utilisateurs:arvin]]

Merci de recopier le code ci-contre pour prouver que vous êtes humain : V Y I V Y Merci de laisser ce champ vide :

Résumé

Note : En modifiant cette page, vous acceptez que le contenu soit placé sous les termes de la licence suivante : CC Paternité-Partage des Conditions Initiales à l'Identique 3.0 Unported