Cuando se configura una cuenta FTP para un propósito específico (por ejemplo, como punto de entrega para compartir archivos de datos), parece sensato darle al usuario acceso sólo al directorio en particular y no ver un sistema de archivos más amplio.
En los sistemas *nix, en particular, cada usuario generalmente tiene acceso de lectura a muchos archivos del sistema, como /etc/passwd. Los demonios FTP generalmente le permiten ocultarlos ejecutando un chrootinicio de sesión, de modo que el usuario esté en una "cárcel" virtual.
Perochrootno fue diseñado como una medida de seguridad[copia del archivo ya que el sitio parece caído], e incluso puede introducir sus propios problemas de seguridad; por esta razón vsftpdrestringió esta característicade modo que solo puede acceder chroota un directorio de solo lectura, y el usuario debe luego navegar a un subdirectorio para realizar cualquier operación de escritura.ProFTPDadvierte del problema pero no ofrece ninguna alternativa, y PureFTPD requiere la creación de varios archivos especiales para poder utilizar incluso un archivo chroot.
Me parece que no hay ninguna razón fundamental para que el acceso FTP se asigne a la noción de acceso al sistema de archivos del sistema operativo; Al igual que un demonio HTTP, un demonio FTP podría "reescribir" todas las solicitudes de acuerdo con un conjunto de reglas de configuración. Si le solicita la ruta a un servidor web Apache /, la asigna al directorio definido en el DocumentRootdirectorio, no al /directorio actual del sistema operativo host.
Mi pregunta es: ¿algún demonio FTP *nix utiliza un mecanismo de "reescritura" como este (o alguna otra forma de limitar el acceso), y si no, hay una razón fundamental?
Nota: existe cierta superposición conesta pregunta existente, pero las respuestas discuten principalmente si usar chrooto no, en lugar de alternativas completas.
Respuesta1
http://www.ietf.org/rfc/rfc959.txt
Voy a suponer que la especificación no dice que el 'destino' o el lado del servidor tenga que apuntar a un tipo específico de sistema de archivos. Sin profundizar demasiado en eso, sospecho que cualquiera podría escribir un demonio que encarcelara a los usuarios de cualquier manera razonable y aún así sería viable.
Alternativamente, algo como selinux puede restringir a los usuarios de ftp a ciertos directorios sin requerir un cambio en el demonio ftp.