FileZillaパスワードをBase64エンコードで保存 流出リスク変わらず

イメージ 2

日本でもオススメの無料FTPソフトとして紹介されてることも多い FileZilla には、FTPアカウント（パスワード文字列） に何ら処理も施さず生身の状態で設定ファイルに保存 する危ない仕様が存在します。

Windowsパソコンが FTPアカウントの情報を盗みとるマルウェア に殺られてしまうと、FileZilla には保護する仕組みが存在しないため外部に流出するリスクが常にあるのです。 ＜セキュリティを確保する マスターパスワード機能 が実装されてない

サーバーやウェブサイトに悪意のある第三者が不正アクセスすると次のような被害が…。
  • サーバー内に保管されてるデータが盗まれる
  • フィッシング詐欺サイトが設置される
  • マルウェアのファイル置き場にされる
  • 改ざんされウイルス配信サイトに仕立てあげられる
今日気づいたけど2015年3月にリリースされたバージョンから、このパスワード文字列を Base64エンコード に変換して出力するようになってました。

イメージ 1
FileZilla 設定ファイル sitemanager.xml のパスワード領域

この変更により 人間がパッと見で元のパスワード文字列を把握するのが不可能 になりました。

Base64 は簡単にデコード可能

ただ、人間でも デコードツール を使って変換することでホンの一瞬で元に戻せてし
まいます。 ＜セキュリティ面での効果は皆無！

MTIzNDU2Nzg5MA==
　↓ デコード
1234567890

まして、マルウェアからすれば何も弊害にならず、FileZilla でパスワードを保存する運用方法の危険性は以前と変わらないままになります。

イメージ 3
[ログオンの種類]で 通常 を選ぶと実質的に生身のパスワードで出力

FileZilla の紹介ページの中はこのリスクについてまったく触れることなく、パスワードが保存されてしまう解説 をのせてるところをよく見かけます。
  • Windowsユーザー向け FileZilla の使い方を掲載するページ
  • [ログオンの種類]で「通常」を選ぶよう文章や画像で指示してる
この条件に当てはまってる解説サイトはヤバイです。


＜2016年11月 追記...＞

オープンソースの FileZilla にマスターパスワード機能を実装した派生版FTPソフト FileZilla Secure がリリースされてます。

開発の動機は FileZilla からのFTPアカウント情報の流出で大変な目にあったことが原因だとか。

FileZilla の愛用者でウェブサイトをたくさん運用していた
　↓
ある日突然すべてのサイトがハッキングされウイルス置き場にされる （使用していたWindowsパソコンがマルウェアに感染して FileZilla の設定ファイルから全FTPアカウントが悪意のある第三者に流出したのが原因）
　↓
Googleセーフブラウジングのブラックリスト登録 された上に対応にてんてこ舞いで憂き目を見る



＜2017年6月 追記...＞

FileZilla がバージョン3.26.0にてマスターパスワード機能をサポートし、この機能を使用すれば設定ファイルにパスワードを生身で保存するヤバすぎる仕様は回避できるようになりました。

イメージ 4
設定 → インターフェイス → Passwords

【FileZillaのNEWSファイルより】
3.26.0-rc1 (2017-05-25)
+ Passwords can now be stored encrypted, protected with a master password

指定できるパスワードは8文字以上です。
関連するブログ記事
タグ ：
#フリーソフト