L'autorizzazione di FTP è sicura contro lo sniffing e la vulnerabilità al dirottamento man-in-the-middle?

Question

L'autorizzazione di FTP è sicura contro lo sniffing e la vulnerabilità al dirottamento man-in-the-middle?

#1 da (2 voti)

1

Uno dei miei provider di hosting offre ancora solo l'accesso FTP al server ...

L'autorizzazione è sicura (vale a dire resistente allo sniffing della rete) nonostante il contenuto della trasmissione sia di testo normale?
È possibile dirottare una tale sessione FTP?

Quando si tratta di contenuti, pubblico solo le risorse disponibili pubblicamente, e le eventuali chiavi di autenticazione dei siti web sono hash salati, quindi sniffing dei contenuti non è la mia preoccupazione. Quello che temo è se sniffing di rete possa consentire ad altri di ottenere l'accesso non autorizzato. Non sono sicuro di quali siano i meccanismi di autorizzazione FTP e come controllare quale server sta utilizzando.

Per rendere la domanda / risposta completa per il lettore, sono sicuro che tale connessione FTP sarebbe comunque vulnerabile a man-in-the-middle attacco e session hijacking ?

ftp sniffing

posta Grzegorz Wierzowiecki 16.05.2016 - 09:29

fonte

1 risposta

Leggi altre domande sui tag ftp sniffing

Terminologia: punto di ingresso, origine dati, sink In che modo JDBC invia le password al server?

score 2 · Accepted Answer

L'autorizzazione con FTP è nome utente e password in testo semplice e non esiste alcuna protezione contro lo sniffing passivo.

FTPS (FTP su TLS, da non confondere con SFTP che è il trasferimento di file su SSH) offre protezione contro lo sniffing. Ma molti client FTP non controllano il certificato TLS correttamente o lasciano che l'utente salti facilmente il controllo e quindi possono essere vulnerabili contro lo sniffing attivo (l'uomo nell'attacco centrale).

Il dirottamento di sessioni classiche come noto da HTTP non è un problema qui perché non esiste un tale tipo di sessione. È ancora possibile dirottare la connessione TCP sottostante. Ma questo ha bisogno di un uomo attivo nel mezzo e funziona solo con un semplice FTP, nel qual caso l'uso dello sniffing passivo per ottenere la password sarebbe l'attacco molto più semplice.