Чому FTP не можна вважати безпечним
Як передавати файли мережею
FTP (File Transfer Protocol) — прикладний протокол для передавання файлів мережею, за допомогою якого можна завантажувати дані з віддаленого сервера і на нього. FTP з’явився 1971 року, а специфікація, якою ми користуємося зараз, — тільки 1985-го. Цей протокол дає змогу швидко пересилати файли. Він мав попит, коли передача даних була дорогою і лімітованою.
Як влаштований FTP
FTP дуже простий у налаштуванні та видачі доступу на скачування. Вашому браузеру (якщо він підтримує FTP) не потрібен додатковий файловий менеджер, щоб завантажити файл. Для обміну інформацією мережею достатньо встановити FTP-клієнт — наприклад, FileZilla.
На відміну від HTTP, FTP може передавати тільки файли. Вони передаються за клієнт-серверним принципом і не містять додаткової (службової) інформації. Клієнт може підключатися до віддаленого сервера, працювати з його файловою системою — переглядати, завантажувати, записувати й переміщувати файли на сервері. Для їх адресації використовують URL: ідентифікатор протоколу + ім’я сервера + шлях до файлу. Керування протоколом відбувається через текстові команди. З’єднання клієнта із сервером може відбуватися у двох режимах:
- активний (за замовчуванням) — сервер сам може встановити з’єднання з клієнтом;
- пасивний — з’єднання може встановити тільки клієнт.
Раніше існувало кілька способів передавання даних за цим протоколом, але зараз залишився тільки бінарний (файли передаються побайтово, без використання додаткового кодування та обробки).
Для автентифікації з’єднання застосовують ім’я користувача і пароль. Проблема в тому, що всі дані й пароль передаються в незашифрованому вигляді. Водночас пароль теоретично можна забрутфорсити, а дані — перехопити.
Для підключення нових клієнтів до одного сервера потрібне нове TCP-з’єднання через окремий порт — що більше клієнтів, то більше портів. Те, що різним користувачам можна виставити різні права для доступу і редагування файлів, не рятує від проблем із безпекою.
FTPS і SFTP
«Класичний» FTP має кілька безпечніших реалізацій. Основні з них — FTPS (FTP+SSL) і SFTP (SSH File Transfer Protocol). Водночас реалізаціями їх можуть вважати досить умовно, оскільки вони використовують зовсім інші технологічні рішення.
У FTPS підключення захищене за допомогою криптографічного протоколу SSL (або заснованого на ньому TLS). SSL працює за принципом видачі сертифіката, який допомагає ідентифікувати джерело і клієнт для отримання даних. З SSL ми стикаємося щодня — сайти, захищені цим протоколом, позначають замком у рядку URL. FTPS використовує ті самі команди, що й FTP, але з шифруванням. Третя сторона не може перехопити або підмінити трафік — тільки відстежити параметри з’єднання і приблизний обсяг трафіку. Попри свої плюси, не всі FTP-сервери здатні підтримувати SSL.
SFTP побудований на SSH (Secure Shell). Така реалізація може шифрувати й команди, і дані. SFTP використовує за замовчуванням тільки один порт — 22. З’єднання через один порт захистити простіше, ніж через кілька, як у класичній реалізації.
Порівняно з FTPS, SFTP гнучкіший з погляду безпеки, оскільки підтримує більше шифрів. Ще одна відмінність у тому, що SFTP задіює тільки один потік, а FTPS — щонайменше два (керівний і потік для передачі даних). Тому FTPS може бути швидшим за SFTP. FTPS зараз використовують тільки там, де немає підтримки SSH (а отже, й SFTP). Для зручної роботи з цими протоколами створено файлові клієнти, наприклад, SSHFS - застосунок для підключення мережевих дисків за SFTP.
Чому протокол передачі файлів досі використовують, незважаючи на проблеми з безпекою?
Попри відомі ризики безпеки, традиційний протокол FTP і досі можна побачити:
1. Для деяких контрольованих середовищ, як-от закриті мережі або передачі нечутливих даних, базовий протокол FTP може бути достатнім.
2. Багато старих систем і застосунків розроблено із залученням цього протоколу. Оновлення таких систем може бути дорогим та складним, тому організації часто обирають залишити наявні рішення.
3. Простота налаштування та використання FTP робить його зручним, особливо для тих, хто вже працює з ним багато років.
4. Протокол широко підтримують різні платформи та операційні системи, що забезпечує його високу сумісність.
5. Для передачі великих файлів в межах безпечних внутрішніх мереж FTP може запропонувати кращу продуктивність завдяки меншій накладній, порівняно з зашифрованими альтернативами.
Ризики безпеки під час використання протоколу передачі файлів
Отже, наразі 2025 рік, а FTP і досі застосовують. Про що треба пам’ятати тим, хто не може відмовитися від FTP server:
- Відсутність шифрування переданих даних
Головна проблема FTP — це відсутність шифрування. Коли ви передаєте файли чи облікові дані через FTP, вони мандрують мережею у вигляді відкритого тексту. Це означає, що будь-хто, хто зможе перехопити трафік, без зусиль прочитає ваші дані, що може призвести до витоку чутливої інформації чи паролів. І хоча FTPS та SFTP розв’язують цю проблему, однак тільки частково і вже не виправдовують вимог до кібербезпеки. - Вразливість до атак типу «посередник»
Без шифрування протокол FTP стає легкою мішенню для атак типу «посередник» (Man-in-the-Middle). Зловмисник може перехопити зв’язок між клієнтом і сервером, змінити дані під час передачі або вставити шкідливий вміст у файли. - Ризик крадіжки паролів та компрометації облікових записів
Оскільки дані для входу передаються без шифрування, їх можуть перехопити. Це створює реальний ризик несанкціонованого доступу до вашого сервера, що може призвести до серйозних наслідків — втрати даних та доступу до систем.
Як мінімізувати ризики, якщо без FTP не обійтись:
▪ Використовуйте лише надійні FTP-клієнти з підтримкою FTPS або SFTP.
▪ Не залишайте FTP port відкритим публічно — обмежуйте доступ через брандмауер.
▪ Регулярно оновлюйте ПЗ FTP-сервера і стежте за вразливостями.
▪ Впровадьте двофакторну автентифікацію, якщо платформа це дозволяє.
▪ Перевіряйте журнали з’єднань і налаштуйте автоматичні сповіщення про підозрілу активність.
Сучасні альтернативи FTP-протоколу
На щастя, ростуть не тільки вимоги до передачі та зберігання чутливих даних, але й способи це забезпечити. Ось кілька нових альтернатив, які стануть у пригоді.
- Безпечне копіювання (SCP)
Подібно до SFTP, Secure Copy (SCP) застосовує SSH для гарантування безпеки. Команда SCP в SSH використовує таке саме надійне шифрування, як і SFTP. Але SCP йде ще далі, надаючи простий інтерфейс командного рядка, що підходить для сценаріїв і автоматизації. Це означає, що ви можете легко інтегрувати безпечні передачі файлів у ваші поточні робочі процеси та сценарії розгортання.
scp /local/path/file.txt user@example.com:/remote/path/file.txt
- Файлові передачі на основі HTTPS
HTTPS тепер не тільки для перегляду вебсторінок. Використовуючи ті самі протоколи, що й для гарантування безпеки онлайн-банкінгу, HTTPS-файлові передачі пропонують шифрування та широку сумісність. Крім того, часто вони мають зручні інтерфейси, що робить безпечні передачі файлів доступними для користувачів без технічних знань. - WebDAV (Web Distributed Authoring and Versioning)
WebDAV розширює протокол HTTP, даючи змогу здійснювати спільне редагування та керування файлами.
Використовуючи HTTPS, WebDAV пропонує безпечні передачі файлів з додатковою функцією версійності. Це означає, що ви можете відстежувати зміни, ефективно співпрацювати та зберігати чітку історію своїх файлів — все це в межах безпечного середовища. - Рішення для керованої передачі файлів (MFT)
Для організацій, що працюють із чутливими даними або мають складні вимоги до відповідності, рішення для керованої передачі файлів, як-от Progress MOVEit, пропонують надійний підхід до гарантування безпеки та керування передачею файлів.
MFT не лише передають файли — вони надають екосистему для управління, моніторингу та захисту ваших передач файлів. Завдяки таким функціям, як-от передове шифрування, детальні журнали аудиту та можливості автоматизації, рішення MFT можуть перетворити передачі файлів з безпекової загрози на стратегічний актив.
На завершення
Цифровий світ значно змінився з моменту створення FTP-протоколу. Сьогодні користувачі інтернету очікують і заслуговують на безпечні з’єднання для всіх своїх онлайн-активностей, включно з передачею файлів. Якщо ви досі використовуєте базовий протокол, зараз саме час подумати про перехід до безпечнішої альтернативи.
Пам’ятайте: безпека ваших даних — це не тільки захист інформації, але й підтримка довіри з боку ваших користувачів, партнерів та клієнтів. Пріоритет на безпечних методах передачі файлів — це не лише дотримання найкращих практик, а й інвестиція в довгостроковий успіх і надійність ваших цифрових операцій.
