sharing ftp-zugriff nicht für kompletten rechner

[remote]

hi,

ich habe mal eine frage zu dem ftp-zugriff im sharing-bereich:

wenn ich ftp aktiviere und von einem anderen rechner adresse
und passwort angebe, ist es möglich den kompletten computer
mit allen daten zu durchsuchen. der user soll hier aber nur einen
bestimmten ordner auf dem computer erreichen können. ist das
möglich, z.b. anhand der zugriffsrechte?

 

[Bier]

Gute Frage... auch interessiert bin...

 

[pepi]

Ein Admin User bekommt immer die komplette Maschine, ein normaler User nur sein Home. Grundsätzlich kann ich davon abraten den Mac OS X eigenen FTP Server einzusetzen. Prinzipiell sollte man sich den Einsatz von FTP überhaupt sehr gut überlegen, da die meisten Implementationen von FTP vollkommen unverschlüsselt ablaufen, was heutzutage sicherheitstechnisch als fahrlässig gilt!
Gruß Pepi

 

[remote]

es ist fraglich wozu diese einstellung dann überhaupt gut ist,
aber danke für die info.

 

[pepi]

Weil ein ahnungsloses Volk danach verlangt? Ich verwende es beispielsweise in einem vertrauenswürdigen LAN für die Scan-to-FTP Funktionalität von Xerox/RIcoh/Gstetner Kopierern.
Gruß Pepi

 

[twinastir]

Um das Sicherheitsproblem, wie von Pepi erwähnt, zu umgehen, kannst Du im Sharing-Bereich SSH ("Entfernte Anmeldung") freigeben. Basierend auf SSH kannst Du dann Secure FTP machen. Ein gutes Tool auf dem Mac dafür ist Fugu.

Auch bei SSH und SFTP hast Du Zugriff auf das gesamte Home-Directory des Benutzer, als dessen Du Dich anmeldest.

Ein einzelnes Verzeichnis freizugeben, entspringt so ein bischen der Windows-Denkschiene.... Um das zu erreichen, musst Du einen neuen Benutzer anlegen und in sein Heimatverzeichnis ist dann das freigegebene Verzeichnis. Bei entprechenden Rechten, können natürlich auch andere Benutzer/Gruppen darauf zugreifen.

 

[Bier]

Das ist nicht ganz richtig.

Du hast Zugriff gemäß der in den Verzeichnissen stehenden Bereichtigungen. D. h. wenn Du 777er Ordner anlegst, kann der neue "sftp Nutzer für die Allgemeinheit" darauf auch zugreifen.
Zudem existieren weitreichende Leseberechtigungen. Je nachdem, in welche Gruppe der User geaddet wird.
Das ~ist natürlich in jedem Falle dem Nutzer seins. (Ja, Deutsch)

Nebenbei bemerkt: Nein ftp wird nicht nur von "Ahnungslosen" eingesetzt. In einem offenen Intranet kann das sehr sinnvoll sein, da nicht jeder Mitarbeiter autenzifiziert vom internen Server den kleinsten Kram holen muss.

ich finde die Implementation vom ftpd in OS X beknackt. Wer bitte nutzt so was? Kann man das nicht ordendlich realisieren wie beo OpenBSD seinerseits?

 

[twinastir]

Das ist nicht ganz richtig.

Du hast Zugriff gemäß der in den Verzeichnissen stehenden Bereichtigungen. D. h. wenn Du 777er Ordner anlegst, kann der neue "sftp Nutzer für die Allgemeinheit" darauf auch zugreifen.
Zudem existieren weitreichende Leseberechtigungen. Je nachdem, in welche Gruppe der User geaddet wird.
Das ~ist natürlich in jedem Falle dem Nutzer seins. (Ja, Deutsch)

Das habe ich ja geschrieben: Bei entprechenden Rechten, können natürlich auch andere Benutzer/Gruppen darauf zugreifen.

In einem offenen Intranet kann das sehr sinnvoll sein, da nicht jeder Mitarbeiter autenzifiziert vom internen Server den kleinsten Kram holen muss.

Was spricht gegen die SFTP-Variante? So ist man auch in einem WLAN sicher....

Möglicherweise meinst Du einen Anonymous FTP? Wie man das auf OS X einrichtet habe ich keine Ahnung...

ich finde die Implementation vom ftpd in OS X beknackt. Wer bitte nutzt so was? Kann man das nicht ordendlich realisieren wie beo OpenBSD seinerseits?

Kann Deinen Einwand nicht nachvollziehen. Ich kenne es von UNIX/Linux nicht anders. Was würdest Du Dir denn wünschen?

 

[pepi]

[...]Auch bei SSH und SFTP hast Du Zugriff auf das gesamte Home-Directory des Benutzer, als dessen Du Dich anmeldest.[...]

Ein gefährlicher Irrtum! Per SSH hat jeder Benutzer Zugriff auf alle angeschlossenen Volumes auf die er gemäß Zugriffsrechten (POSIX oder ACLs) zugreifen darf. Das ist in jedem Fall deutlich mehr als nur auf das eigene $HOME zugreifen zu können. Unter Mac OS X ist ein Benutzer per SSH nicht auf sein HOME chrooted!
Gruß Pepi

 

[twinastir]

Ein gefährlicher Irrtum! Per SSH hat jeder Benutzer Zugriff auf alle angeschlossenen Volumes auf die er gemäß Zugriffsrechten (POSIX oder ACLs) zugreifen darf. Das ist in jedem Fall deutlich mehr als nur auf das eigene $HOME zugreifen zu können. Unter Mac OS X ist ein Benutzer per SSH nicht auf sein HOME chrooted!
Gruß Pepi

Asche auf mein Haupt! Pepi hat natürlich Recht!