FTPログインユーザーを単一のディレクトリに制限する安全な方法

Question 1

注：このソリューションは私にとって効果的で、設定も簡単でした。 vsFTPdを使用するとします。

私はすべてのユーザーをホームディレクトリに閉じ込め、それらの間に「共有」というフォルダを共有しました。

ユーザーを自宅に直接送信する
```
$ sudo vi /etc/vsftpd/vsftpd.conf
```
これが次の構成であることを確認してください。
```
anonymous_enable=NO
local_enable=YES
chroot_local_user=YES
```
vsftpdを再起動します。
```
$ sudo service vsftpd restart
```
すべてのユーザーの共有フォルダを作成し、「ftp」権限を付与します。
```
$ cd /var/ftp
$ mkdir shared
$ chmod 777 shared/
$ chgrp ftp shared/
$ chown ftp shared/
```
投獄されたユーザーがこの共有フォルダにアクセスできるようにする

刑務所に閉じ込められたユーザーSamを例に挙げてみましょう。

今、あなたはルートだと仮定します。
```
$ su - sam
$ cd /home/sam
$ mkdir Shared
$ exit
```
これでrootに戻りました。
```
$ mount -o bind /var/ftp/shared /home/sam/Shared
```
FTPグループにサムを追加する
```
$ usermod -a -G ftp sam
```
共有フォルダに他のユーザーを追加するには、この手順を繰り返します。

Samは自分のホームフォルダにアクセスでき、他のすべてのユーザーがアクセスできる追加の「共有」フォルダがあります。

Answer

注：このソリューションは私にとって効果的で、設定も簡単でした。 vsFTPdを使用するとします。

私はすべてのユーザーをホームディレクトリに閉じ込め、それらの間に「共有」というフォルダを共有しました。

ユーザーを自宅に直接送信する
```
$ sudo vi /etc/vsftpd/vsftpd.conf
```
これが次の構成であることを確認してください。
```
anonymous_enable=NO
local_enable=YES
chroot_local_user=YES
```
vsftpdを再起動します。
```
$ sudo service vsftpd restart
```
すべてのユーザーの共有フォルダを作成し、「ftp」権限を付与します。
```
$ cd /var/ftp
$ mkdir shared
$ chmod 777 shared/
$ chgrp ftp shared/
$ chown ftp shared/
```
投獄されたユーザーがこの共有フォルダにアクセスできるようにする

刑務所に閉じ込められたユーザーSamを例に挙げてみましょう。

今、あなたはルートだと仮定します。
```
$ su - sam
$ cd /home/sam
$ mkdir Shared
$ exit
```
これでrootに戻りました。
```
$ mount -o bind /var/ftp/shared /home/sam/Shared
```
FTPグループにサムを追加する
```
$ usermod -a -G ftp sam
```
共有フォルダに他のユーザーを追加するには、この手順を繰り返します。

Samは自分のホームフォルダにアクセスでき、他のすべてのユーザーがアクセスできる追加の「共有」フォルダがあります。

Question 2

この問題はインターネットに浮かぶ問題であり、明確な解決策が見つかりませんでした。

それが私が今立っているところです（詳細は更新します）。

基本的な問題は、httpクライアントが単にhttpサービスプロセスに要求を送信するのではなく、FTPでユーザーがログインしてファイルシステムを操作できるようにすることです。

したがって、定期的にログインしている場合、FTPユーザーがシステム上のユーザーに許可された操作を実行するのを制限することは困難です。 FTPユーザーには、下位レベルのブランチからの書き込みまたは読み取りを可能にするためにビューアクセスを制限するディレクトリに対する実行権限が必要です。したがって、彼の視聴権を制限する唯一の簡単な方法は、彼をchroot刑務所に閉じ込めることです。

Chroot Jailは、単に「/」で始まるパスへのすべての参照が単一の引数として渡され、パスですが、「現在の作業ディレクトリは変更されずに残り、相対パスはまだ新しいルートディレクトリの外のファイルを参照できますあります。」ソースです。http://lwn.net/Articles/252794/

セキュリティの観点からは、これが何を意味するのか、FTPデーモンとユーザー権限に関してどれほど危険なのかはわかりませんが、「chroot Jail」の「Jail」は間違った名前です。

Linuxについて深く理解している場合は、プロセスとユーザーの権限を定義して、このセキュリティコンテキストでchrootを「使用」できるようです。しかし、この問題で苦しんでいる私や多くのインターネットユーザーはまだ「達成」していません。

実際には、刑務所のように動作するのに十分なchroot刑務所を強化することも可能です。カーネル開発者Alan Cox氏によると、「chrootはセキュリティツールではなくセキュリティツールだったこともありません。人々はchrootのプロパティに基づいて何かを構築しました。タスクを実行するためにLSMモジュールを直接書くこともできます。結局のところ、そうです。配布FTPサイトがこのようなまたは同様の方法でセキュリティを処理する可能性があります。

現実的に今できることはchroot Jailを使うことだけです。なぜなら、私のサーバーは優先度の低いターゲット（存在する場合）であり、私のユーザーはデフォルトで信頼できるからです。私のセキュリティポリシーは、人々が被るダメージを制限することです。刑務所の休憩。これを行うには、ユーザーを仮想ユーザーとして適切に構成するか、仮想マシンでフルサービスを実行する必要があります。

学習が進むにつれて、LSMなどを通じてセキュリティのためにchroot（）の概念を実施することを望み、上記のAlan Coxの引用に基づいてBSDにすでに「刑務所」の概念があることに言及したので、おそらく次のためにBSD使用を検討します。私のFTPが必要です。

Answer