Защищены ли программы FTP?

Вы развертываете или передаете файлы с использованием FTP? Учитывая возраст протокола и его дикую популярность среди множества хостинговых компаний, можно сказать, что вы могли бы.

Но знаете ли вы о проблемах безопасности, которые могут возникнуть для вас и вашего бизнеса? Давайте рассмотрим ситуацию более подробно.

Такие программы, как FileZilla , CyberDuck , Transmit или Captain FTP, могут быть безопасными. Они могут применять такие меры, как скрытие паролей от окружающих. Но если вы передаете данные по FTP, эти меры будут эффективно смягчены.

Я перейду к погоне; причина, по которой я пишу это из-за интересной дискуссии на SitePoint в августе. Обсуждение было сосредоточено на FileZilla, делая ряд утверждений о том, насколько небезопасно (или нет).

Ключевой аспект дискуссии касался того, стоит ли хранить пароли в FileZilla. Один из комментариев связан с довольно описательной статьей, которая показала, что, несмотря на то, что вы скрываете свои учетные данные при использовании программного обеспечения, если вы сохраняете свои учетные данные, их довольно легко получить.

Если вы не читали статью, FileZilla сохраняет данные о соединении в простом XML-файле, пример которого вы можете увидеть ниже.

<?xml version="1.0" encoding="UTF-8" standalone="yes" ?>
<FileZilla3>
    <Servers>
        <Server>
            <Host>localhost</Host>
            <Port>21</Port>
            <Protocol>0</Protocol>
            <Type>0</Type>
            <User>anonymous</User>
            <Pass>user</Pass>
            <Logontype>1</Logontype>
            <TimezoneOffset>0</TimezoneOffset>
            <PasvMode>MODE_DEFAULT</PasvMode>
            <MaximumMultipleConnections>0</MaximumMultipleConnections>
            <EncodingType>Auto</EncodingType>
            <BypassProxy>0</BypassProxy>
            <Name>test site</Name>
            <Comments />
            <LocalDir />
            <RemoteDir />
            <SyncBrowsing>0</SyncBrowsing>test site
        </Server>
    </Servers>
</FileZilla3>

Вы можете видеть, что в нем хранится много информации о соединении, поэтому вам не нужно ее запоминать. Но обратите внимание, как он хранит ваш пароль в открытом виде тоже?

Конечно, когда вы используете программу, она скрывает пароль, как показано на скриншотах выше, так что его нельзя прочитать через плечо.

Но нет особого смысла, когда вы можете просто снять его с компьютера, если у вас есть доступ. Если честно, в последней версии FileZilla хранение паролей по умолчанию запрещено.

Как насчет зашифрованных файлов конфигурации?

Люди предположили, что, по крайней мере, файлы конфигурации должны быть зашифрованы или настроены таким образом, чтобы запрашивать мастер-пароль перед предоставлением доступа, как это делают 1Password и KeePassX .

Затем Луи Лазарис связался с дискуссией об обмене стека , которая пыталась противостоять позиции. Вот суть поста:

Видите ли, для шифрования учетных данных требуется ключ шифрования, который необходимо где-то хранить. Если в вашей учетной записи пользователя запущено вредоносное ПО, у него такой же доступ к тому, что у вас (или любого другого приложения, работающего на том же уровне). Это означает, что они также будут иметь доступ к ключам шифрования или ключам, шифрующим ключи шифрования, и так далее.

Я считаю, что приведенное выше утверждение не в полной мере учитывает конструктивные соображения таких программ, как две, перечисленные выше. Приложения, специально разработанные для безопасного хранения паролей и другой защищенной информации, вероятно, не будут так легко взломать, как предполагает этот ответ.

 allowscp
allowsftp