ネットワークカメラからのSFTP接続

Question

ネットワークカメラをつかって定期的あるいはモーション撮影したスチル画像をサーバにFTPでアップロードして使っていましたが，サーバを更新してSFTP接続（パスワードでの認証を禁止）のみに限定したため，アップロードできなくなってしまいました．

・高価格のネットワークカメラではSFTP接続できるものもあるようですがほとんどの製品はFTP接続のみです（鍵ファイルをもたないといけないので当然ともいえる）．

・SFTP接続では，一部のユーザのみパスワード認証による接続を許すというような設定はセキュリティ上ありえないのでサーバ側の設定では現行のネットワークカメラからのFTP接続のみ可能にすることはできないと思われます．

したがって，ネットワークカメラからの画像のみをいれるサーバをもう1台用意しなければならないということになるのですが，現行のサーバでのSFTP接続（パスワードでの認証を禁止）を維持し，ネットワークカメラを交換せずに解決する方法はないでしょうか．望み薄ですがなにかお知恵があれば教えてください．

Answer 1

事業所内のべつのサーバをファイアーウォール外からアクセスできない設定とし，そこにネットワークカメラから画像をFTP（パスワード認証）でアップロードさせることにしました．ウェブページからは，CGIでその画像を表示させる設定にしましたので，ウェブページ用のApacheサーバはSFTPを維持したままということになります．

Answer 2

構成がイマイチわかりにくいのですが、以下の構成要素が存在し、FTPにしか対応していない１というセキュリティ低下要因に対して、どのような対策が可能なのかという質問と認識しておきます。
１）ネットワークカメラ
２）中継・配信サーバ

この場合、１のIPが固定、あるいは何らか幅があるものであるならば、２側では、そのIPのみFTP接続を許容するように設定すればある程度安全性が確保されると思います。
もちろん、１側にそもそも侵入リスクがある場合、どうにもなりませんが。

Comments

[ProfSoAndSo]

わかりにくくて申しわけありません．パスワード認証を禁止したSFTPの設定でFTPのみしかつかえないウェブカムからアップロードさせることが可能か．．．という意味でした．

Answer 3

・おそらく一部のユーザのみFTP接続を許すというような設定はセキュリティ上ありえないのでサーバ側の設定では現行のネットワークカメラからのFTP接続のみ可能にすることはできない

なにを以て「セキュリティ上ありえない」のでしょうか。
FTPしか実装していない機器であればFTPに頼らざる得なく、特定の機器にのみFTPを許可する運用をしているサイトはいくらでもあると思いますが・・・

現行のサーバのセキュリティとネットワークカメラを変更せずに解決する方法はないでしょうか．

上記に対してのご回答とはなりませんが・・・

FTPをどの環境/プラットフォームに実装しているかにも依りますが、
・グローバルに公開しているサーバであれば、FWアプライアンスで接続元のIPでフィルタする。
・ローカル環境であれば、OS付属のFWで接続元IPでフィルタする。
Linux環境であれば、TCPWrappersでの制御も可能です。
加えて、ftpでユーザによるフィルタリングを行えば、セキュリティもある程度担保されると思います。

Comments

[ProfSoAndSo]

わかりにくくて申しわけありません．パスワード認証を禁止するSFTPの設定で，一部のユーザのみパスワード認証を許可するというのは考えにくいかな，という意味でした．

[over]

とりあえず、SFTP、FTPを構成するプラットフォーム(OS)と実現しているソフトウェアをご質問文に追記してみては如何でしょうか?
LinuxOSであれば、SFTPはssh、ftpはvsftpdなどの別ソフトウェア管理となりますので、実現は可能だと思います。