¿Qué tan inseguro ... realmente ... es FTP?

Con el FTP plano, las credenciales se pasan sin formato y, por lo tanto, se pueden detectar fácilmente. Además, los archivos no solo se envían de forma sencilla, sino que tampoco están protegidos contra modificaciones, es decir, un hombre activo en el medio podría cambiar los archivos sobre la marcha. En la medida en que los riesgos son similares a los de HTTP simple, es decir, podría estar bien dentro de una red confiable, pero es una mala idea si no puede confiar completamente en la red.

Las credenciales se transfieren en texto no cifrado, pero lo sabes por las otras publicaciones. ¿Pero qué tan fácil es conseguir esos detalles?

Como ejemplo, ejecuté tcpdump y me conecté a un servidor FTP. Echemos un vistazo al pcap con cadenas:

220 (vsFTPd 3.0.2)
6USER joe
CT'X
331 Please specify the password.
CTXY
PASS superSecretPassword
230 Login successful.

¿Qué pasa con el contenido de los comandos? Aquí está la salida del pcap:

PASV
227 Entering Passive Mode (192,168,1,2,238,178).
LIST
150 Here comes the directory listing.
MNt@
drwxr-xr-x    2 1000     1000         4096 Aug 28 20:27 Desktop
drwxr-xr-x    2 1000     1000         4096 Aug 28 20:27 Documents
drwxr-xr-x    2 1000     1000         4096 Aug 28 20:27 Downloads
drwxr-xr-x    2 1000     1000         4096 Aug 28 20:27 Music
-rw-rw-r--    1 1000     1000        58677 Jun 12  2010 pic1.jpg

Y si querías el contenido del archivo aquí es una versión del jpg.

200 Switching to Binary mode.
PASV
227 Entering Passive Mode (192,168,1,2,64,224).
RETR pic1.jpg
150 Opening BINARY mode data connection for pic1.jpg (58677 bytes).
JFIF
http://ns.adobe.com/xap/1.0/
<?xpacket begin="
" id="W5M0MpCehiHzreSzNTczkc9d"?> <x:xmpmeta xmlns:x="adobe:ns:meta/"    
 x:xmptk="XMP Core 4.1.1"> <rdf:RDF 
xmlns:rdf="http://www.w3.org/1999/02/22-rdf-syntax-ns#"> 
<rdf:Description rdf:about="" 

Entonces, si alguien puede detectar paquetes en el cliente, el servidor o la red, entonces tiene un problema de seguridad. Mitigar el problema moviendo el SFTP o similar es una idea fácil y buena.

  

¿Qué tan inseguro ... realmente ... es FTP?

Tan inseguro como cualquier otro protocolo de capa de aplicación que no esté cifrado, por ejemplo, HTTP.

  

Pero, ¿cuál es exactamente el riesgo que se plantea?

El mayor riesgo es la exposición (a escuchas ilegales en la red) de todos los datos enviados a través de FTP.

  

¿Qué pasa con las credenciales, contraseña, etc. de un usuario?

Sí, los que están expuestos también. Se envían utilizando los comandos USER y PASS de la capa de aplicación.

  

Qué inseguro ... realmente ... es FTP

Es tan inseguro como lo es su red. Si se puede rastrear la red (WiFi, ISP no autorizado, etc.), encontrar la contraseña y los datos es tan trivial como ejecutar wirehark. Dado un punto para escuchar, podría entrenar a un niño de 10 años para que obtenga la contraseña y los datos en menos de una hora.

  

¿Qué pasa con las credenciales, contraseña, etc. de un usuario?

Todo completamente en claro, con herramientas muy sencillas disponibles para atraparlos.

  

Por supuesto, la red particular en la que se encuentra es también importante. Una red de oficina segura es un poco diferente de una sala de espera del aeropuerto.

Verdadero. Como dije, el FTP es tan seguro como lo es la red, y nada más. También es cuestión del modelo de amenaza. ¿Quién va a tratar de obtener sus datos de FTP y por qué?

En estos días, con sftp y otras formas de transferir datos de forma segura, es más una cuestión de por qué usaría ftp que por qué usaría las alternativas seguras.

Creo que lo que debes tener en cuenta es que estos tipos de escenarios solo tienden a aumentar con el tiempo. Empieza a no preocuparse especialmente por los datos y se le acortan las credenciales, pero lo que está haciendo puede transformarse con el tiempo en algo que realmente desearía haber dedicado el tiempo para hacerlo correctamente en primer lugar. A muchos profesionales de TI se les ha dicho "solo va a hacer X, y nunca se usarán para Y" solo para que esa misma persona regrese 18 meses después y diga "Sé que dije que nunca lo haría" ... comprar, realmente lo necesitamos ahora. ¿Puedes arreglarlo? "

Si tiene alguna opción al respecto, casi nunca es una buena idea comenzar inseguro, y simplemente asumir "agregaremos seguridad más adelante cuando la necesitemos". Las alternativas seguras no son realmente más difíciles de usar y mantener, así que ¿por qué no las usarías?

Si bien su pregunta y la respuesta de Steffen capturan los datos en tránsito, muchos de los problemas con FTP tienen que ver con la configuración e implementación del lado del servidor. Muchos servidores FTP (incluidos SFTP y FTPS) han tenido serias vulnerabilidades que han permitido el acceso de lectura y escritura a los datos.   Aquí hay un artículo del año pasado sobre cómo se configuran regularmente cientos de miles de servidores FTP para el acceso anónimo.

Los riesgos de facilidad en la mala configuración también están presentes con las versiones seguras de FTP. Por ejemplo, muchas personas no se dan cuenta de que las cuentas SFTP son cuentas SSH. Una vez que haya iniciado sesión en SFTP, puede salir en SSH normal. Si no ha considerado esto, es posible que haya otorgado más acceso a los usuarios de SFTP que el previsto.

Hay muchos problemas, como los ataques de directorios que no son específicos de FTP, pero debido a la naturaleza de su diseño original y el uso previsto tienden a presentarse con más frecuencia. Encontrar información y asistencia para asegurar los hosts de FTP puede ser difícil de conseguir debido a su creciente oscuridad.

Es por estos motivos que encontrará muchos estándares de seguridad en torno a SFTP que requieren el cifrado por separado de los archivos de datos para ayudar a evitar la exposición del acceso a los datos 'en reposo'.