![](http://oshiete.xgoo.jp/images/v2/pc/qa/question_title.png?e8efa67)
最近、FTPは危険だという話を聞きます。Gumblarと言うウィルス関連でよくそう言う話を聞きます。長年ホームページを運営してきたのですが、今までFTP接続をして、パスワードを盗まれたり、クラックされたり、何らかの手段でホームページを改ざんされたりした経験はないのですが、それでも危ないのでしょうか?初心者の頃、自分のパソコンがウィルスに感染したことは1~2回ぐらいありますが、最近は、ウィルスに気がつくようになったので、ウィルスに感染することもなくなりました。それでも危険でしょうか?そもそもFTP接続を盗聴している人なんているのでしょうか?使っているのは、ホームページビルダーのFTPツールです。今、特に心配になったのは、かなり重要なデータを有料レンタルで借りているウェブサーバーにアップロードしようと考えているからですが、どうなのでしょうか?一般の閲覧者が見ることができないように、ディレクトリーにIDとPWを設定して、アクセスを制限する予定ですが、それでも危ないでしょうか?ちょっと質問の幅が広くなってしまいますが、よろしくお願い致します。
No.2ベストアンサー
- 回答日時:
はじめまして、セキュリティの研究開発にたずさわっているものです。
まず、どれだけ危険なのかは運営されているサイトがインターネットからアクセス可能かによります。たぶんインターネットからアクセス可能ですよね? またFTPでのアクセスに対するIPアドレスの限定等の設定も行っていないと予想して、話を続けさせていただきます。
危険性について「パスワードを盗まれたり、クラックされたり、何らかの手段でホームページを改ざんされたりした経験はない」と言われますが、昨今の犯罪者はサイト内の有益な情報を盗むことが目的であり、明確にわかるような改ざんなどは行いません。また文面からするとFTPのアクセスログの検査もしておられないようですから、被害がなかったとはとても言えない状況だと認識してください。
次にFTPに対する攻撃手段ですが、まずFTPに対してIDとパスワードを可能性があると思われる文字列でログインできるか試す通信が日常的にあります。当然この方法では非効率的なので、GumblarはFTPのための管理用マシンからFTP用のID,パスワード等の情報を攻撃者に送信する手段が取られたわけです。
従って、ドメイン登録がされていて、単純なID,パスワードを設定している場合には、すでの不正アクセスが行われたと考えるべきです。それほど攻撃は日常的で進化しているのです。
このような状況における対策としては、「FTPでのアクセスを禁止する」「SSHでリモート管理を行う」「SSHでの認証は証明書による方式だけに設定する」といったところでしょう。もっとも、これらはリモート管理部分に対する対策であり、Webサーバ自身の脆弱性に対するセキュリティパッチが適用されていなければ、やっぱり乗っ取られてしまいますが。
No.1
- 回答日時:
ftpは全ての情報(接続IDやパスワードも含む)を平文、つまり暗号化されない状態で送られます。
要するに「盗聴に対して全くのノーガード」な訳で、パスワードなど盗聴に対しては全く意味をなしません。
対応策として暗号化されたftpであるsftpやftpsというプロトコルが存在します。
まぁこれらはサーバ側で対応してなければ使えませんし、HPBにしても対応していたかどうかまではなんとも。
ただ、ついでに言わせてもらえば
> かなり重要なデータを有料レンタルで借りているウェブサーバーにアップロードしようと考えている
というのに、
> そもそもFTP接続を盗聴している人なんているのでしょうか?
というお気楽な発想こそが最大のセキュリティホールです。
この回答への補足
【訂正】調べたところ、ホームページビルダーのFTPツールですが、昨年秋発売のVersion 16からFTPS及びFTPESに対応していることがわかりました。お詫びし訂正します。そう言うわけで、ホームページビルダー16か次の17あたりを買おうと思います。
補足日時:2012/02/27 16:22ついでに書いていただいた話が一番参考になりました。
ホームページビルダーのFTPツールは、SFTP・FTPS未対応です。ただ、内部でどういう処理をしているのか(例えば、FTP情報を暗号化して格納しているのかなど)は知りません。
ホームページビルダーが早くSFTPやFTPSに対応してくれれば、解決するのですが・・・。FTP非対応で、SFTPやFTPSのみのサーバーもあるので、早くしてほしいものです。WinSCPやFileZilla等を使うのが面倒で・・・っていうのはだめだってことですね。
お探しのQ&Aが見つからない時は、教えて!gooで質問しましょう!
関連するカテゴリからQ&Aを探す
おすすめ情報
- ・漫画をレンタルでお得に読める!
- ・ゆるやかでぃべーと タイムマシンを破壊すべきか。
- ・「I love you」 をかっこよく翻訳してみてください
- ・歩いた自慢大会
- ・許せない心理テスト
- ・字面がカッコいい英単語
- ・昔のあなたへのアドバイス
- ・かっこよく答えてください!!
- ・あなたが好きな本屋さんを教えてください
- ・スタッフと宿泊客が全員斜め上を行くホテルのレビュー
- ・【大喜利】【投稿~8/27】 こんなガソリンスタンド二度と来るか!なぜそう思った?
- ・これ何て呼びますか Part2
- ・人生で一番思い出に残ってる靴
- ・【お題】動物のキャッチフレーズ
- ・【お題】甲子園での思い出の残し方
- ・ゆるやかでぃべーと すべての高校生はアルバイトをするべきだ。
- ・「それ、メッセージ花火でわざわざ伝えること?」
- ・自分用のお土産
- ・人生で一番お金がなかったとき
- ・一番好きなみそ汁の具材は?
- ・泣きながら食べたご飯の思い出
- ・ちょっと先の未来クイズ第1問
- ・ゴリラ向け動画サイト「ウホウホ動画」にありがちなこと
- ・初めて自分の家と他人の家が違う、と意識した時
- ・単二電池
- ・チョコミントアイス
デイリーランキングこのカテゴリの人気デイリーQ&Aランキング
-
Excelのセルにユーザー名...
-
YouTubeが毎回ログインしないと...
-
メールを返信したら、英語のメ...
-
「@」(アットマーク)の無いメ...
-
iPhoneのiCloudメールなよです...
-
存在しないアドレスにメールを...
-
インスタの捨て垢で友達のスト...
-
CDにパスワードをかける
-
メールアドレスで上付きのハイフン
-
YahooIDをパスワード形式にした...
-
インスタの乗っ取り解除につい...
-
LINE TCBというところからLINE...
-
メールのマナー編
-
CSVファイルを添付するときにパ...
-
携帯電話を解約してもSMSの受信...
-
verify@twitter.comから、メー...
-
runas実行した時にきかれるパス...
-
「そのメールアドレスはすでに...
-
解約済みの iPadについて 解約...
-
インスタのアイコンについてるN...
マンスリーランキングこのカテゴリの人気マンスリーQ&Aランキング
-
Excelのセルにユーザー名...
-
大学定期試験過去問サイト「過...
-
メールをパスワードつきで送る方法
-
ユニクロやGUのシフト管理アプ...
-
インスタの捨て垢で友達のスト...
-
メールアドレスで上付きのハイフン
-
CSVファイルを添付するときにパ...
-
メールを返信したら、英語のメ...
-
YouTubeが毎回ログインしないと...
-
インスタのアイコンについてるN...
-
iPhoneのiCloudメールなよです...
-
携帯電話を解約してもSMSの受信...
-
メールのマナー編
-
メールアドレスから個人を特定...
-
メールアドレス 上バーの入力...
-
YahooIDをパスワード形式にした...
-
高一男子です 僕が絶対に悪いん...
-
CDにパスワードをかける
-
「@」(アットマーク)の無いメ...
-
runas実行した時にきかれるパス...
おすすめ情報