Ce cours est visible gratuitement en ligne.

J'ai tout compris !
  • Facile

Bonjour à tous !
Dans ce tutoriel, je vous proposerai tout d'abord une introduction au protocole SFTP puis je vous expliquerai comment restreindre l'accès d'un utilisateur à son seul dossier /home/user à l'aide de l'excellent MySecureShell.

Pourquoi déployer cette solution ?

Dans quels cas pouvez vous déployer cette solution et quels sont ses avantages ?

Tout d'abord, je dois dire que ce tutoriel s'adresse avant tout aux personnes disposant d'un serveur dédié sous GNU/Linux. C'est à dire une machine (un PC de bureau fait très bien l'affaire) allumée en permenance et faisant office de serveur familial avec une distribution GNU/Linux installée dessus. Sur cette machine vous pouvez installer tout un tas de logiciels permettants d'améliorer la convergence numérique de la maison. Ainsi si vous avez plusieurs PC à la maison, vous pouvez stocker vos documents uniquement sur cette machine dédiée par exemple.

Ensuite, vous pouvez avoir envie de partager vos fichiers avec de la famille (photos des petits enfants pour les grands parents) par exemple mais vous pouvez souhaiter qu'ils n'accèdent qu'à une certaine partie du disque dur.

Il faut donc restreindre l'utilisateur à un dossier donné du système. A la connexion ce sera ce dossier d'affiché par défaut et il n'aura pas la possibilité de remonter à la racine du système ...

MySecureShell permet de faire ceci et nous allons voir ensemble comment mettre en place cette solution.
Maintenant, prenons un exemple pour que cela soit plus concret ...

Lors de la connexion de l'utilisateur jean ...

Image utilisateur

Prérequis et Objectifs

  • Posséder un serveur avec une distribution linux installée (pour le tuto, je prendrai comme référence une Debian Lenny)

  • Avoir des connaissances minimales au niveau des systèmes GNU/Linux, notamment utiliser l'éditeur de fichiers GNU nano.
    Si vous n'avez pas les bases, je vous recommande la lecture de ce chapitre du tutoriel Reprenez le contrôle avec Linux ! de M@teo21 : Nano, l'éditeur de texte du débutant.

  • d'ajouter des utilisateurs pour faire du SFTP

  • de modifier le shell d'un utilisateur

  • de configurer MySecureShell pour un utilisateur

  • d'accéder à distance à un dossier du système de fichier et uniquement à ce dossier en utilisant le protocole de transfert SFTP

Permettre l'accès en SSH

SFTP est un protocole de transfert sécurisé par SSH. Il permet de transférer des fichiers tout en bénéficiant des avantages de SSH (cryptage de tous les échanges).

Le protocole SFTP et SSH sont intimement liés puisque SFTP veut en réalité dire SSH File Transfert Protocole. SFTP n'est qu'en réalité une surcouche à SSH. L'installation de SSH est donc requise pour pouvoir accéder à son serveur via le protocole SFTP.

Après avoir réalisé un installation toute fraîche de Debian Lenny, par defaut, il n'est pas possible de se connecter à distance via le protocole SSH. Nous allons donc installer SSH.

aptitude install ssh

A partir de là, tous les utilisateurs du système Debian Lenny peuvent se connecter en SSH et en SFTP au serveur.
Ils peuvent de même, remonter à la racine et voir tout les fichiers du système.
En revanche, ils ne peuvent pas modifier les fichiers ne leur appartenant pas (la gestion des droits GNU/Linux reste active).

Cela pose cependant de grave problèmes car même s'ils ne pourront pas modifier les fichiers ne leur appartenant pas, ces utilisateurs pourront télécharger tout les fichiers du système et donc les lire par la suite.

Nous allons donc voir maintenant comment restreindre l'utilisateur à son dossier contenu dans le /home (technique du chroot).

Installation et paramètrage de MySecureShell

Logo de MySecureShell

Citation

MySecureShell est un shell qui va permettre d'ajouter plusieurs fonctionnalités à sftp-server et qui va se rapprocher des grands serveurs ftp tel que ProFtpd.

Les avantages de MySecureShell sont qu'il s'appuie sur le protocole très sécurisé appelé SSH et qu'il permet un cryptage complet des données et des requêtes émises. Il est très simple à installer, à utiliser et hautement configurable.

Voilà comment est décrit MySecureShell sur son site officiel.
Le gros avantage pour nous, c'est qu'il va nous permettre de restreindre l'utilisateur à son dossier personel.

Installation de MySecureShell

Je vais maintenant détailler la procédure d'installation de MySecureShell

Modifier le fichier sources.list

Comme la dernière version de MySecureShell n'est pas forcément dans les dépôts, on ajoute une source externe .
Commencez par éditer le fichier sources.list :

nano /etc/sources.list

A la fin du fichier, ajoutez :

deb http://mysecureshell.free.fr/repository/index.php/debian testing main
deb-src http://mysecureshell.free.fr/repository/index.php/debian testing main

Puis, fermez nano en tapant Ctrl+X, O et Entrer.

Recharger la liste des paquets

Comme nous venons d'ajouter un dépôt, nous devons actualiser la liste des paquets. Pour cela, tapez

aptitude update

Installer MySecureShell

Nous pouvons maintenant installer MySecureShell :

aptitude install mysecureshell

Ajouter un utilisateur

Pour l'exemple, mon utilisateur s'appelera joyre

adduser joyre

Modifier le shell de cet utilisateur

Pour que l'utilisateur, utilise par défaut MySecureShell lors de sa connection, nous allons devoir modifier le fichier /etc/passwd avec nano.

nano /etc/passwd

Dans le fichier /etc/passwd, vous allez retrouver toujours le même schéma pour tous les utilisateurs :

Citation : /etc/passwd

nomutilisateur:x:guidutilisateur:guidgroupe::/home/utilisateur:shellutilise

Identifiez l'utilisateur dont vous voulez restreindre l'accès à son dossier. Son pseudo débute la ligne à modifier. Une fois que vous avez trouvé, remplacez /bin/bash par /bin/MySecureShell.

Si je prend un exemple : je veux restreindre l'utilisateur joyre

  • j'avais avant joyre:x:1000:1000::/home/joyre:/bin/bash

  • je le remplace par joyre:x:1000:1000::/home/joyre:/bin/MySecureShell

Maintenant que la ligne est modifié, nous pouvons enregistrer et fermer nano (Ctrl+X, O et Entrer)

Configurer MySecureShell pour l'utilisateur

Pour le moment, l'utilisateur est forcé d'utiliser MySecureShell mais celui ci n'est pas configuré. Il ne peut donc rien faire. Nous allons donc devoir paramétrer MySecureShell pour l'utilisateur en modifiant le fichier /etc/ssh/sftp_config avec nano.

nano /etc/ssh/sftp_config

Vous allez maintenant copier/coller le code suivant dans votre fichier /etc/ssh/sftp_config (qui est normalement vide).

<User pseudoarestreindre>
Home /home/pseudoarestreindre
StayAtHome true
VirtualChroot    true
LimitConnectionByUser 3
LimitConnectionByIP 3
HideNoAccess     true
DefaultRights 0604 0705
IgnoreHidden     true
</User>

Il vous faudra remplacer dans ce code pseudoarestreindre par le pseudo dont vous souhaitez restreindre l'accès.

Je vais maintenant expliquer les arguments contenus dans ce code :

  • <User pseudoarestreindre> [...] </User> : La directive User est destinée à affecter des directives à une seule personne. L'utilisateur doit être créé sur la machine pour qu'il fonctionne sur MySecureShell (ce que nous avons fait précédemment)

  • Home : C'est le dossier ou seront redirigés les utilisateurs lors de la connexion au serveur.

  • StayAtHome : L'utilisateur connecté ne peut remonter au dessus du dossier Home qui lui a été attribué.

  • VirtualChroot : Chroot l'utilisateur authentifié, "/" s'affichera pour lui comme le répertoire par défaut.

  • LimitConnectionByUser : Limite le nombre de connexions simultanées par utilisateurs.

  • LimitConnectionByIP : Limite le nombre de connexions simultanées par IP.

  • HideNoAccess : Cache les fichiers/répertoires auxquels l'utilisateur, le groupe ou autre, n'ont pas accès.

  • DefaultRights : Défini les droits pour les fichiers et les répertoires créés par l'utilisateur.

  • IgnoreHidden : Masque les fichiers cachés à l'utilisateur (cette option peut être intéressante mais pensez à la désactiver si vous manipulez des fichiers .htaccess par exemple).

Voilà, ce tutoriel est désormais terminé, j'espère qu'il vous aura été utile dans la mise en place de l'accès SFTP de votre serveur.

Je vous rappelle que ce tutoriel est publié sous licence Creative Commons Paternité 2.0 France.
Dans le cadre de cette licence, vous avez le droit (et je vous encourage vivement à l'exercer) de reproduire, distribuer et communiquer cette création au public et de la modifier.
En contrepartie, vous devez citer le nom de l'auteur original (jtraulle, http://facilinux.fr) (mais pas d'une manière qui suggérerait que je vous soutien ou que j'approuve votre utilisation de ce tutoriel).

déroulement d'un cours

  • 1

    Dès aujourd'hui, vous avez accès au contenu pédagogique et aux exercices du cours.

  • 2

    Vous progressez dans le cours semaine par semaine. Une partie du cours correspond à une semaine de travail de votre part.

  • !

    Les exercices doivent être réalisés en une semaine. La date limite vous sera annoncée au démarrage de chaque nouvelle partie. Les exercices sont indispensables pour obtenir votre certification.

  • 3

    À l'issue du cours, vous recevrez vos résultats par e-mail. Votre certificat de réussite vous sera également transmis si vous êtes membre Premium et que vous avez au moins 70% de bonnes réponses.

Découvrez aussi ce cours en...

Exemple de certificat de réussite
Exemple de certificat de réussite