Création et sécurisation d'un serveur FTP avec TLS sous Debian 8

Cette documentation va vous permettre de mettre en place et sécuriser un serveur FTP sous Debian 8.

Le serveur FTP (File Transfer Protocol) permet, comme son nom l'indique, de transférer des fichiers par Internet ou par le biais d'un réseau informatique local (intranet). Toute personne en ayant l'autorisation, peut télécharger et envoyer des fichiers sur un ordinateur distant. Le port par défaut et le plus souvent utilisé est le port 21.

Ici, nous allons nous servir de l'outil ProFTPD qui est un serveur FTP libre. Ses auteurs l'annoncent comme puissant et parfaitement sécurisé sur le site web consacré au logiciel. Il est distribué selon les termes de la licence GNU GPL. Nous allons également nous servir du protocole de sécurisation TLS (Transport Layer Security). Son prédécesseur SSL (Secure Sockets Layer) et lui-même, sont des protocoles de sécurisation des échanges sur Internet. .TLS (ou SSL) fonctionne suivant un mode client-serveur.

Nous allons commencer à installer le serveur FTP avec la commande apt-get install proftpd. Lors de l'installation, il nous sera demandé si nous souhaitons installer le serveur en mode inetd (qui gère les serveurs FTP avec peu de connexions) ou bien indépendamment. Nous choisissons l'option indépendamment.

L'installation du serveur FTP en elle-même est relativement simple. La preuve, nous venons de terminer. Nous pouvons maintenant passer à la sécurisation de notre serveur avec le protocole TLS. Pour ce faire, nous installons le paquet openssl qui est la version libre des protocoles SSL et TLS : apt-get install openssl.

La prochaine étape consiste à créer un répertoire qui va contenir les certificats sur serveur ainsi que la clé de certification : mkdir /etc/proftpd/ssl.

Nous pouvons maintenant créer les certificats et clés : openssl req -new -x509 -days 365 -nodes -out /etc/proftpd/ssl/proftpd.cert.pem -keyout /etc/proftpd/ssl/proftpd.key.pem (cela va permettre de créer les fichiers proftpd.cert.pem et proftpd.key.pem).

A partir de ce moment, il va nous être demandé certaines informations concernant notre serveur FTP comme le continent (EU), le pays (FR), la ville (Aubusson), le nom de notre organisation (ici aucune), l'unité de service (encore aucune), le nom de domaine et notre adresse mail.

Ensuite, il faut décommenter la ligne Include /etc/proftpd/tls.conf dans le fichier nano /etc/proftpd/proftpd.conf.

Nous allons maintenant éditer le fichier nano /etc/proftpd/tls.conf pour modifier quelques paramètres :

TLSEngine on

TLSLog /var/log/proftpd/tls.conf

TLSProtocol SSLv23

TLSOptions NoCertRequest

TLSRSACertificateFile /etc/proftpd/ssl/proftpd.cert.pem

TLSRSACertificateKeyFile /etc/proftpd/ssl/proftpd.key.pem

TLSVerifyClient off

TLSRequired on

Nous procédons maintenant au redémarrage de notre service protfpd avec /etc/init.d/proftpd restart.

Pour tester l'accès à notre serveur FTP sécurisé, nous allons utiliser l'outil Filezilla sous Windows ou sous Debian. Ici ce sera Debian : apt-get install filezilla.

Nous ne pouvons accéder à notre serveur en laissant les paramètres de Filezilla par défaut. Il faut configurer notre connexion donc nous allons dans l'onglet Fichier puis dans Gestionnaire de Sites. C'est alors qu'une nouvelle fenêtre fit son apparition nous demandant d'ajouter un site donc cliquons sur Nouveau Site. Nous devons lui donner un nom (mettez ce que vous souhaitez), une adresse IP dans la case hôte, un numéro de port dans la case port (21), choisir le type de protocole (FTP), choisir le chiffrement (Connexion FTP explicite TLS), sélectionner le type d'authentification (ici ce sera demander le mot de passe) puis l'identifiant.

Une fois que tout est correctement configuré nous pouvons faire Connexion. Une nouvelle fenêtre apparait nous demandant un mot de passe (en l'occurence celui du compte rentré dans le gestionnaire de site. Encore une nouvelle fenêtre fait son apparition stipulant que le certificat du serveur nous est inconnu et nous donne alors les informations d'emplacement géographique du serveur FTP. C'est notre serveur alors nous lui faisons confiance alors nous cochons la case Toujours faire confiance à ce certificat lors des prochaines sessions puis nous faisons Valider.

HOURA notre serveur est fonctionnel et sécurisé !

Si vous le souhaitez, vous pouvez télécharger la procédure qui est plus complète -> Installation proftpd et tls (830.98 Ko)