nicht angemeldet
FTP-Zugriff auf gesamten SSL-Server bei XY-Hoster
Hallo,
ich poste das erste Mal in diesem Forum, weil ich dringend einen Expertenrat benötige.
Folgende Situation:
Bei einem Anbieter (XY) habe ich mir einen SSL-Account einrichten lassen. Da ich mit SSL noch keine Erfahrung hatte, habe ich die URL, den Usrernamen und das Passwort in mein FTP-Programm eingegeben und siehe da die Verbindung kam zustande. Allerdings sah ich weit mehr, als ich erwartete. Da waren Verzeichnisse wie: bin, boot, cdrom, dev usw. (auch fremde Accounts). Das Betriebssystem bei diesem Anbieter ist Linux. Wenn mich nicht alles täuscht, sind das alles Verzeichnisse, die zum BS Linux gehören. Ich hatte überall Zugriff, konnte auch downloaden. Ob löschen möglich ist weiß ich nicht, möchte ich auch nicht ausprobieren. Bei Anruf wurde mir gesagt, das ist normal, man würde aber mal die Technik informieren.
Nun frage ich mich, ob die Leute dort recht haben und ob das wirklich normal ist. Es ist doch ein Sicherheitsserver, wie kann ich da Zugang zu fremden Accounts haben?
Hat da jemand mal einen Rat für mich, vielleicht, dass ich schnellstmöglich den Anbieter wechseln sollte?
Vielen Dank im Voraus
Uwe Schoknecht
-
Hi,
ich poste das erste Mal in diesem Forum, weil ich dringend einen Expertenrat benötige.
herzlich willkommen.
Bei einem Anbieter (XY) habe ich mir einen SSL-Account einrichten lassen. Da ich mit SSL noch keine Erfahrung hatte, habe ich die URL, den Usrernamen und das Passwort in mein FTP-Programm eingegeben
Du solltest Dir zunächst einmal klar machen, dass ein FTP-Server (_File_ Transfer Protocol) nicht das geringste mit einem HTTP-Server zu tun hat; unabhängig davon, ob dieser mit einer SSL-Schicht arbeitet oder nicht. Es ist einfach ein anderes Programm, welches - falls vorhanden! - separat konfiguriert wird, einen eigenen Login-Mechanismus besitzt, und ein völlig anderes Protokoll spricht. Der Sinn des FTP-Servers ist, die Übertragung von Dateien (bei HTTP gibt es keine Dateien; man spricht von Ressourcen, auch wenn diese aus Dateien generiert wurden) zu ermöglichen. Das macht auch klar, dass über den FTP-Server ein - reglementierter - Zugriff auf das gesamte Filesystem ("die gesamte Festplatte") stattfinden kann.
Durch Reglementierungen wird verhindert, dass jeder auf alles zugreifen kann, so dass üblicherweise nur ein relevanter Teil des Filesystems zur Verfügung steht. Im Falle von Rechnern, auf denen auch ein HTTP-Server installiert ist, wird sehr häufig nur (oder nicht wesentlich mehr als) der für HTTP relevante Teil freigeschaltet - also ServerRoot und alles, was darunter liegt.
Allerdings sah ich weit mehr, als ich erwartete.
Dann hat Dein Provider bei der Konfiguration des FTP-Servers geschlampt. Offenbar bist Du im Root-Verzeichnis des Filesystems (analog wäre das bei Windows "C:") gelandet. Tu Dir selbst einen Gefallen und ändere nichts :-)
Bei Anruf wurde mir gesagt, das ist normal, man würde aber mal die Technik informieren.
Oft wird genereller Zugriff auf alle Dateien gewährt, auf die der eingeloggte User laut Unix-Berechtigung Zugriff hat. Dies hat dann übrigens nichts mehr mit FTP zu tun; seitens des FTP-Servers ist der Zugriff auf "alles" erlaubt, den Rest reglementiert das Betriebssystem.
Nun frage ich mich, ob die Leute dort recht haben und ob das wirklich normal ist. Es ist doch ein Sicherheitsserver,
SSL sorgt für nichts anderes als die Verschlüsselung der Daten während der Übertragung. Es schränkt keine Zugriffsrechte ein; und wenn es das täte, dann weder für einen eventuell vorhandenen FTP-Server, noch für das Betriebssystem.
Um es vielleicht noch etwas deutlicher zu machen: Du kannst auf Deinem heimischen Rechner einen HTTP-Server wie z.B. Apache installieren. Du kannst diesem Server auch eine SSL-Schicht mitgeben. Wenn Du Lust hast, kannst Du jetzt noch einen FTP-Server installieren. Aber:
Hast Du deswegen einen eingeschränkten Zugriff auf Deine Festplatte?
Hat da jemand mal einen Rat für mich, vielleicht, dass ich schnellstmöglich den Anbieter wechseln sollte?
Es ist ein wenig merkwürdig, dass Du nach dem FTP-Login im Root-Verzeichnis bist. Sicherheitsbedenklich ist das aber nur geringfügig; auch wenn ich Dir empfehlen möchte, weiterhin hinter einer Klärung der Verhältnisse her zu sein. Und noch einmal: Es hat weder etwas mit HTTP, noch mit SSL zu tun :-)
Cheatah
-
Hallo Cheatah,
vielen Dank für die schnelle und umfassende Antwort. Obwohl mir einiges schon bekannt war, wird doch jetzt vieles klarer.
Viele Grüße aus Thüringen
Uwe Schoknecht
-