O que usar em vez de FTP

Question

Eu recebo essa pergunta o tempo todo de pessoas que executam servidores da web baseados no Windows. O FTP, embora seja onipresente, tem numerosas deficiências de falhas, e nem todas podem ser resolvidas simplesmente com o slapping SSL / TLS sobre o protocolo FTP existente.

Então, há um protocolo, configuração ou outra solução que um usuário do Windows pode empregar para uso de transferência de arquivos em geral para ocupar o lugar do FTP? Os requisitos típicos são simples e intuitivos:

• Precisa ser algo que um administrador relativamente não qualificado pode configurar e gerenciar
• O acesso a este protocolo não deve implicitamente conceder acesso a outros recursos, bem
• Precisa estar seguro na Internet

Aqui estão algumas soluções no-go que não satisfazem os requisitos da pergunta, mas são normalmente sugeridas de qualquer maneira. Eles estão incluídos aqui para pedir que você evite sugeri-los como respostas

• Cygwin e outras soluções SSH, que além de serem complicadas para um iniciante, também permitem implicitamente o acesso ao shell de comando para o visitante, permitindo que ele faça mais do que apenas fazer o upload e download de arquivos (ex: execute código arbitrário)
O
• RDP, que, embora tenha capacidade de compartilhamento de arquivos, também concede acesso ao desktop do visitante, permitindo que ele faça mais do que apenas fazer upload e download de arquivos
• FTPS, FTPES e outras soluções baseadas em FTP. A criptografia não é o único problema com o FTP. Caso contrário, não estaríamos fazendo essa pergunta.
• Compartilhamento de arquivos do Windows, que não é seguro para uso na Internet e é geralmente bloqueado por ISPs por esse motivo
• DAV, a menos que possa ser facilmente configurado e protegido (o que normalmente não é o caso)

^{Note que isto é muito explicitamente e muito intencionalmente não a}

    

Answer 1

Eu acho que o principal problema destacado por sua lista não-passiva não é a transferência de arquivos, mas a qualidade do treinamento que os administradores relevantes recebem (ou espera-se que tenham que começar). Se uma organização não pode configurar algo como isso internamente ou através de uma infraestrutura de TI terceirizada, então eu ficaria bastante preocupado como um cliente ou um investidor ^{_{(que vem mais agressivo / arrogante do que eu pretendia, mas não consigo pensar em uma maneira melhor de expressar isso ...)}} .

Para abordar seus pontos mais diretamente:

Cygwin + SSH

Isso pode definitivamente ser faf para ser configurado com o Cygwin, mas existem opções comerciais que podem ser muito mais fáceis de gerenciar. SCP / SFTP (via SSH) não implica necessariamente o acesso ao shell - em todas as implementações eu estou ciente disso pode ser removido dos usuários ou não é possível em primeiro lugar. Sob o Linux, shells restritos como rssh estão normalmente disponíveis, apenas configure todos os seus usuários para ter um deles como shell, então é provável que eles também existam na coleção de portas do Cygwin (ou poderiam ser compilados localmente). Outra opção, se você não estiver convencido de que um shell restrito será suficiente, fará com que o loginc do SSH passe por uma caixa de gateway que não contenha absolutamente nada útil que os usuários possam executar e faça com que ele monte as outras áreas de armazenamento na rede local. 'casas (embora isso seria ainda mais incômodo para configuração).

RDP, which while it has file-sharing capability, also grants the visitor desktop access, allowing him to do more than just upload and download files

Eu concordaria que o RDP / RDS é a solução errada apenas para o compartilhamento de arquivos, embora você possa bloquear seus usuários do RDP com segurança e privilégios muito limitados.

FTPS, FTPES, and other FTP-based solutions. Encryption isn't the only problem with FTP.

Concordado.

Windows File Sharing, which is not safe for use over the Internet, and is typically blocked by ISPs for that reason

Se você controla os sistemas operacionais clientes que estão se conectando e eles sempre se conectam com links de qualidade decente, o Compartilhamento de arquivos do Windows pode ser considerado se acessado apenas por meio de alguma forma de solução VPN. No entanto, se você vir gerenciar o SSH como um problema importante de gerenciamento de infraestrutura, o pensamento de uma VPN também pode ser assustador.

DAV, unless it can be VERY easily set up and secured (which is typically not the case)

Eu não trabalhei com a DAV, por isso não posso comentar com qualquer autoridade aqui.