FileZillaでFTPS接続

  • 投稿日:
  • by
  • カテゴリ:

セキュアなファイル転送手段としては、暗号化にSSLを使うFTPS(File Transfer Protocol over SSL/TLS)と、SSHを利用したSFTP(SSH File Transfer Protocol)があります。

両者の違いとしては、FTPをSSLで暗号化して通信するのがFTPS。 SSHの仕組みを利用してファイル転送を行うのがSFTPということになります。 つまりSFTPはFTPではありません。

FTPS - Wikipedia

SFTPと比較したFTPSのメリットとして、ASCII/BINARY モードのサポートやフォルダ単位での転送がある。
 
デメリットとしては、サーバー運用側でSSL証明書の購入コストがかかることであるが、これについてはワイルドカード証明書で登録すれば、自社SSLサイト(HTTPS)と共通の証明書を利用可能。

というわけで、馴染み易いのはFTPSの方でしょうか。


ところで、FFFTPをSSL接続に対応させる方法というのもあるようです。

Online Help for ControlPanel

FFFTPでFTP over SSLしよう
 
ここでは、SSLプロキシソフト「WinSSLWrap」をご紹介します。
「WinSSLWrap」をインストールすると、FFFTPでもFTP over SSLが利用できるようになります。

ただ、「WinSSLWrap」を使っても完全ではないようです。

FFFTP+WinSSLwrapにてFTPSを行いたい - Master of IP Network - @IT

理由は簡単で、WinSSLWrapがデータ・チャネルのTLS/SSL接続をサポートしていないからです。
「TLSRequired on」は両方のチャネルのTLS/SSL化を強制しますので、当然、LIST(XPWD)ではじかれてしまいます。
従って、WinSSLWrapでは転送データの暗号化はできませんが、それでもよければ「TLSRequired ctrl」としてあげれば、コントロール・チャネルのみTLS/SSL化を強制しますので、ユーザ名やパスワードは漏れる心配はありません。
「TLSRequired on」で両方のチャネルのTLS/SSL化を強制したければ、FileZillaのようなTLS/SSL対応のクライアントを使用するしかありません。

という訳で、FileZillaというソフトを試してみました。

filezilla01.jpg

インストールすると、最初から日本語化されて起動します。
FFFTPを10年近く使ってきましたが既に開発が止まっていますし、ファイル/フォルダの数が多いと転送してくれないこともあります。
他のFTPソフトは画面構成が煩雑だったりして馴染めなかったのですが、FileZillaは比較的スッキリしていて好感が持てます。 これなら乗り換えてもいいかな?


でも、FileZillaには注意すべき点があるようです。

FileZilla は FTP 情報を平文で XML ファイルに保存している - エンジニアでありたい人の日記

が、FileZilla を使う場合は気をつけないといけないことがあります。それはFileZilla は FTP 情報を平文で XML ファイルに保存していることです。最新版なのかな、ver. 3.3.1 でも未だそうなってます。
 
この情報自体、ググってどなたかのブログで見つけたものですし、私も一時期「FileZilla って良さそうだなぁ」と思っていたクチなので偉そうなことを言えませんが、「FFFTP はダメだから FileZilla にしよう」という安易な発想ではかえって深刻な事態を招きかねません。
 
ちなみにこの件については FileZilla の Trac に 2年くらい前にバグとして投稿されましたが「こういう設計だ」という回答がなされています。

試しに C:\Documents and Settings\(ユーザー名)\Application Data\FileZilla フォルダの sitemanager.xml を見てみると、確かにパスワードがそのまま記入されていました(汗)。 オソロシや~

JPCERT/CC Alert 2010-02-03 FTP アカウント情報を盗むマルウエアに関する注意喚起

本攻撃に使用されているマルウエアに感染すると、ユーザのコンピュータ内 に保存されているアカウント情報が読み取られ、外部のサーバに対し送信され る可能性があります。 このアカウント窃取の対象となるソフトウエアは、FTP クライアントを含む 複数の製品にのぼります。JPCERT/CC では、以下の FTP クライアントにてマル ウエアによるアカウント窃取、および外部サーバへのアカウント情報の送信を 確認しました。
 
- ALFTP 5.2 beta1
- BulletPloof FTP Client 2009.72.0.64
- EmFTP 2.02.2
- FFFTP 1.96d
- FileZilla 3.3.1
- FlashFXP 3.6
- Frigate 3.36
- FTP Commander 8
- FTP Navigator 7.77
- FTP Now 2.6.93
- FTP Rush 1.1b
- SmartFTP 4.0.1072.0
- Total Commander 7.50a
- UltraFXP 1.07
- WinSCP 4.2.5

対策としては面倒でも、接続時に毎回パスワードを入力するようにすることでしょうね。

filezilla02.jpg

これで大丈夫かな?

filezilla03.jpg

「このセッションのパスワードを記録する」にチェックを入れておけば、(FileZillaを閉じない限りは)次回接続時には入力する必要はありません。 この設定でも sitemanager.xml にはパスワードは記録されません。