|豆知識もっとも身近でありながら、実は危険なプロトコルであるFTPに潜むセキュリティリスクWebサイトを運用している人なら、必ずといっていいほど使ったことがあるFTP。サーバへHTMLファイルなどを転送する際の代表的な通信手段です。このもっとも身近なFTPが、実はセキュリティ的に危険な通信手段であったことをご存じでしょうか。今回は、普段あまり意識せずに使っているFTPに潜むリスクと、その対策を紹介します。Protocol」という通信規約の略称です。FTPはメールなどに比べ、大容量のデータ転送に適しているため、サーバへファイルをアップロードしたりダウンロードしたりする際の通信手段として、古くから利用されてきました。サーバ運用に携わる多くのエンジニアたちの間では、FTPは危険な通信手段であるという認識が一般的だということをご存知でしょうか。その理由は、FTPが、サーバと通信する際に、すべての情報が平文で行われている点にあるからです。そもそもFTPは、特定ホスト間でファイルを転送する目的で作られたプロトコルであるため、通信の最初にユーザーIDとパスワードによって通信相手を確認する認証プロセスがとられています。FTPでは、このユーザーIDとパスワードが平文で通信されているです。ユーザーIDとパスワードが暗号化されていないので、その通信経路に接続されている機器からならば、簡単にその内容を盗聴できてしまうというわけです(特に、海外サーバのようにクライアントマシンとサーバの距離が遠くなれば遠くなるほど、その経路に接続されている機器の数が増え、盗聴リスクも高まります)。ある意味、FTPで通信するのは、銀行のATMにお金を引き出しに行く道中を、胸にキャッシュカードと、その暗証番号を貼って歩いているのと変わらない行為といえるわけです。いえ、サーバにログインし、ファイルを書き換えたり削除できる重要な権限を持ったアカウント情報が、なぜそんな危険な通信規約で今も多くのユーザーに使われているのか不思議に思われるかもしれません。その大きな理由は、FTPに代わる安全な通信手段に対応したサーバが少ないことと、使い方が簡単なFTPを手放さないユーザーが多いことが理由だといわれています。FTPに代わる安全な通信手段には、どのようなものがあるのでしょうか。代表的なものとしては「FTPS」と「SFTP」があります。SSL/TLSの略で、SSL通信の暗号化技術を使ってデータの送受信を行う仕組みです。SSL自体は、Webサイトの通信を暗号化する技術としてご存じの人も多いと思いますが、基本的な仕組みは同じと考えれても問題ありません。そのためFTPSを導入するには、サーバ側にSSL証明書を設置する必要があります。SHell)によって通信が暗号化されるファイル転送の仕組みです。SSHはサーバにログインしてコマンドを実行するなど遠隔操作するものであるため、セキュリティ面でも鍵暗号方式を採用するなど高い安全性が確保されています。「WinSCP」などのツールを使えば、コマンドを知らないユーザーであっても、FTP感覚でファイルの転送を行うことができます。この2つの方法を利用するには、ホスティングサービスがFTPSやSFTPに対応したものであり、かつFTPSやSFTPに対応したクライアントソフトを使うことが前提なります。最近ではFTPSやSFTPに対応したホスティングサービスも、増えてきています。一部の共用サーバサービスでは、そもそもユーザーがSSHを使ってコマンドを実行することが、別のリスクにつながる可能性もあるためにSSH自体を許可していないサービスもあるので注意が必要かもしれません。注意すべきなのは、ホスティングサービスがFTPSやSFTPに対応していても、それを知らずにFTPを使い続けているユーザーが多いことです。あなたが今もFTPのまま使用しているなら、これを機会にFTPSやSFTPに変更することをお勧めします。●FTPSに対応したクライアントソフトfilezillaはこちらこちらから。SmartFTPはこちらこちらから。WinSCP(Windowsのみ)はこちらこちらから。Cyberduck(Macのみ)はこちらこちらから。新しいものから投稿された内容の著作権はコメントの投稿者に帰属します。02:54:06)ゲーテは言いました。Eテレ『デザインのあ』【大人だって夏の課題No7】家族とともにも、いいかも。」って言ってもマーケットは深いぞ大きいぞ。僕らは科学で生活している。いつもアプリコットデザインをご利用いただきましてありがとうございます。エトレ通販企画室では、事業を拡充すべく、培った経験を生かしてくださる外部パートナーを常時募集しております。パンフレット制作.jpでは協力してもらえる外部のライター、イラストレーター、コーダーを募集しています。http://www.creator.ne.jp。