2010.01.31
「FFFTPだけが危ない」はデマ(8)
■「FFFTPだけが危ない」はデマ
■乗り換えても無駄
感染した場合、危ないのはFFFTPじゃなく、FTPクライアントソフト全体
SmartFTP、NextFTP、Filezilla、WinSCPもFFFTPと同じ意味で危険
今のところ大丈夫なクライアントはある
でも、大勢の人が乗り換えたら、マルウェアがバージョンアップして対応してくるだけだよ
■特定のマルウェアに感染しなければ大丈夫
もちろん、「絶対感染しない｣ってのは不可能だけどね
感染した場合に、FTPソフトが保存してる情報を盗み出して利用される
だから危ないと騒がれてる
｢特定のマルウェア｣とは、8080系とか“Gumblar”とかいわれてる奴
■過去にパスワードを保存していないなら平気
■今後もパスワードを保存しなければ平気
保存して無いものは盗みようが無い
■FFFTPを使うとマルウェアに感染するというのもデマ
FFFTPのせいで感染するわけじゃない
感染した後に利用される
だからセキュリティ対策をしっかりしよう
以上
■追記
でもさ、マルウェアに感染してる時点で情報は盗られるからね？
例えば、FTPは通信を暗号化してないから、簡単に盗聴できるからね？
今回は「パスワードが利用される」だったけど、「FTPを盗聴して内容をネットに送信する」マルウェアも作れるからね？
これ、FTPクライアントがFFFTPだろうがなんだろうが関係無いからね？
■今回の教訓
・暗号化無しの通信方式（FTPとか)で大事な情報送るな
・パスワードは保存するな
僕はローカルに保存せず、ポストイットに書いてディスプレイに貼り付けます（＾ｑ＾
追記の追記
タイトル変えました
あとポストイットの件はモチィのロンで冗談ですごめんorz
でもマジでどう管理するのがベストだろうね
追記の追記の追記
id:mala氏に怒られた？
同じ内容を書いてるつもりだけど、何か違うらしいので彼の主張を載せます
「「FFFTPが危ない」はデマ」はデマ。
特定のFTPクライアントにパスワードを保存している状態でマルウェアに感染すると、
感染状態でFTP接続しなくてもパスワードを盗まれる危険があり、そのクライアントの中にFFFTPが含まれる。
http://twitter.com/bulkneets/status/8412642399
ブコメやついったーに突込みが出たら、気付き次第拾う
Permalink | トラックバック(4) | 20:22 
1
■http://anond.hatelabo.jp/20100130202235
× 「FFFTPが危ない」はデマ
↓
○ 「FFFTPだけが危ない」はデマ
Permalink | トラックバック(0) | 21:45 
1
■http://anond.hatelabo.jp/20100130202235
正しい。
そして「FTPを盗聴して内容をネットに送信する」マルウェアは既にある。
Permalink | トラックバック(0) | 22:16 
1
■http://anond.hatelabo.jp/20100130202235
初期のGumblerからすでにスニファ機能持ってたと思う
Permalink | トラックバック(0) | 22:41 
1
■http://anond.hatelabo.jp/20100130202235
パスワード暗号化して保管してくれるようなパスワード管理ソフトつかうのがいいんじゃない？
あと、Twitter？ブコメ？で「FFFTPがオープンソースだからセキュリティホールがみつかった」とか
訳分からないことほざいてる人いたけどそうじゃないから。
マルウェアなんて感染したら、ほとんどどんなソフトも問題だって。
Permalink | トラックバック(1) | 23:59 
2
■http://anond.hatelabo.jp/20100130235921
そういうことじゃなくて、FTPの仕様がパスワードを平文で扱うって話じゃないの？
FTPソフトが送ったデータを横取りすればパスワードまるわかりなんだよ
Permalink | トラックバック(1) | 00:07 
3
■http://anond.hatelabo.jp/20100131000700
それはもうサーバ管理者に
「FTPS（FTP over SSL）にしてくれ。
パスワード平文で流れるFTPなんて使ってられないよ」って訴えるしかないんじゃない？
なんでこんなセキュリティ・セキュリティうるさい時代に、FTPプロトコルがメジャーなんだろうね。
Permalink | トラックバック(1) | 00:13 
4
■http://anond.hatelabo.jp/20100131001323
over SSL って大変じゃね？
証明書とかちゃんとしないと
Permalink | トラックバック(1) | 00:24 
5
■http://anond.hatelabo.jp/20100131002457
今さっき「FTP 暗号化」でグーグル先生に聞いて書いたから、FTPS(FTP over SSL)とSFTP(SSH FTP)の違いがよく分かってない。
SFTPの方が楽ならそっちでもいいし。とくにFTPSにこだわりがあったわけじゃない。
「FTPに暗号化を付加したプロトコルに変えてくれ」ってサーバ管理者に訴えるしかないかなと。
Permalink | トラックバック(0) | 00:42 
コメント
コメントする