¿Es segura la autorización de FTP contra el rastreo y es vulnerable al secuestro por parte del hombre en el medio?

Navega tus respuestas
1

Uno de mis proveedores de alojamiento aún ofrece acceso FTP al servidor ...

  • ¿Es segura la autorización (es decir, resistente a la detección de redes) a pesar de que el contenido de la transmisión es texto sin formato?
  • ¿Es posible secuestrar una sesión FTP de este tipo?

Cuando se trata de contenido, solo subo recursos disponibles públicamente, y las claves de autenticación eventuales de los sitios web son fuertes hash con sal, por lo que no me preocupa el contenido de red sniffing . Lo que temo es que sniffing de red pueda permitir que otros obtengan acceso no autorizado. No estoy seguro de qué mecanismos de autorización de FTP son posibles y cómo comprobar cuál está utilizando un servidor determinado.

Para completar la pregunta / respuesta del lector, ¿estoy seguro de que una conexión FTP de este tipo aún sería vulnerable a man-in-the-middle ataque y secuestro de sesión ?

    
pregunta Grzegorz Wierzowiecki 16.05.2016 - 09:29
fuente

1 respuesta

2

La autorización con FTP es un nombre de usuario y contraseña de texto simple y no hay protección contra el rastreo pasivo.

FTPS (FTP sobre TLS, que no se debe mezclar con SFTP, que es la transferencia de archivos a través de SSH) ofrece protección contra el rastreo. Pero muchos clientes FTP no comprueban correctamente el certificado TLS o permiten que el usuario omita el cheque fácilmente y, por lo tanto, puede ser vulnerable a la detección activa (hombre en el ataque central).

El secuestro de sesión clásico tal como se conoce por HTTP no es un problema aquí porque no hay tal tipo de sesión. Todavía es posible secuestrar la conexión TCP subyacente. Pero esto necesita un hombre activo en el medio y funciona solo con FTP simple, en cuyo caso, usar un rastreo pasivo para obtener la contraseña sería el ataque mucho más simple.

    
respondido por el Steffen Ullrich 16.05.2016 - 09:42
fuente

Lea otras preguntas en las etiquetas

Confusión acerca de confiar en las cadenas de certificados basado en DOM XSS: jQuery ("# HiddenReferral"). val (jQuery (location) .attr ('href'));