ファイル転送の
セキュリティ安全性を高める方法は？
wordpressに限らず、
ファイル転送のセキュリティは不可欠だ。
FTPのセキュリティ脆弱性を突かれて
アカウント漏洩し盗まれウェブ改ざんされる。
FTPでは心配だ。
SFTPやFTPSが良いらしい。
WinSCP（フリーソフト）が良いらしい。セキュリティ安全性が高いそうだ。
・WinSCPは、SCP・FTP・FTPS・SFTPに対応。
・Windows用のファイル転送ソフトウェアだとか。
無料のFTPソフトと言えば、
「WinSCP」
「FileZilla」
「FFFTP」
の３つが特に有名だ。
・セキュリティ上の欠点もある。
・FFFTPは
国産FTPクライアントソフトだが、
開発が打ち切られているので、
イマイチらしい。
WinSCPやFileZillaへ
移行するユーザーが増えている。
マスターパスワード機能有り。
・Filezillaは世界的に利用人口が多い。
大量ファイル転送には適している。
マスターパスワード機能無し。
・WinSCPも非常にメジャーな
FTPクライアントソフトだ。
セキュリティ高い。
マスターパスワード機能有り。
ということで、Winpcが一番お勧めらしい。
参考サイト
https://synclogue-navi.com/winscp-filezilla
http://hapisupu.com/2015/08/winscp-sftp-ftps/
FTPクライアントソフトの
セキュリティ 安心度順
・セキュリティ安心度
WinSPC ＞ Filezilla ＞ FFFTP
・WinSCPはセキュリティ安心度高い
FTPS接続対応。
SSHを利用した
暗号化ファイル転送方式である
SFTP接続とSCP接続にも対応している。
マスターパスワードにも対応している。
FTPクライアントソフトの
セキュリティポイント
FTPのセキュリティだが、
重要なポイントは
接続方式とマスターパスワードらしい。
接続方式は、
FTPS接続対応、
SFTP接続対応、
SCP接続対応
でなくてはいけない。
マスターパスワードとは
・マスターパスワード機能があると
パスワードが盗まれにくくなる。
・保存したパスワードなどの
ログイン情報は盗まれる可能性がある。
・マスターパスワードとは
パスワードを暗号化するためのパスワードだ。
・マスターパスワード機能のメリット
（パスワードが盗まれにくくなる理由）
マスターパスワードを使用すると、
ログイン情報は暗号化して保存される。
ログイン時は、
設定したマスターパスワードを
入力しないと復号できないようになる。
・Windows のレジストリや
設定ファイルに保存される
FTPアカウント情報（サーバーにログインする時に必要なパスワード文字列）を
マルウェアの脅威から保護する
セキュリティ機能だ。
・FTPソフトを起動した後に
一度だけ入力する。
５ヶ所のサイトを管理していたとしても、
５個のパスワードを暗記しておく必要がなくなるメリットがある。
WinSCP ダウンロード インストール
Winspcのダウンロード方法
https://winscp.net/eng/download.php
https://synclogue-navi.com/winscp-install
http://hapisupu.com/2015/08/winscp-sftp-ftps/
ウイルス感染でパスワード流出対策
サイト改ざんハッキング被害例
参考サイト
http://www.geocities.co.jp/Playtown-Yoyo/6130/notes/ftp-virus.htm
被害例
悪事の手口は？
・Windowsパソコンに
インストールされているFTPソフトから
サーバーを管理する。
アカウント情報（ホスト名、ユーザー名、パスワード）が引っこ抜かれ流出する。
・パスワード搾取機能を持った
ウイルス・スパイウェアに感染する。←まずコレが手口だ
ネットバンキングウイルス、
パスワードスティーラ、
ダウンローダー型トロイの木馬
ランサムウェア、ファイル寄生型ワーム、
迷惑メール送信ボット、
ガンプラー改ざんで暗躍
それからこの手口だ
↓
・ページに不正なコードを挿入され、
訪問ユーザーにウイルスをバラ撒く。
・ウイルス関連の不正なファイルが
アップロードされる。
・アカウント情報を盗む
フィッシング詐欺ページを設置される。
・FTPソフトのアカウント情報を
盗むマルウェアがある。
・FTPソフト起動中に転送情報を
パケットキャプチャで盗聴される。
FTPソフト ウイルス対策
・セキュリティ安全性高いFTPソフトを使うこと。
・暗号化無しのFTPは使わないこと。
サーバーの対応次第だが、
盗聴するチャンスは
FTPソフトがサーバーと
接続している間だけらしい。
つまり、ウイルスが感染している必要がある。
だから、ウイルス感染を防ぐ事が重要だ。
・対策 ⇒ FTPソフトのマスターパスワード機能を利用する。
・対策 ⇒ FTPソフトにパスワードを保存しない。
・対策 ⇒ 適切なアカウント設定
パスワードは、“アルファベットの大文字と小文字”、“数字”、“記号”を組み合わせる。
少なくとも8文字以上のパスワードにする。
普通の単語や人名を、パスワードに含めないこと。
パソコンに保存されてるFTPソフトの設定ファイルやレジストリから情報を抜き取る手口だ。
FTPソフトの起動に関係なくパソコンが起動状態でアカウント情報を一挙に抜き取り可能。
マルウエアは、複数のソフトウエアの脆弱性を使用して感染する。
2010年現在判明している攻撃の対象となるソフトウエアは、以下の通りだとか。
Adobe Acrobat、Adobe Reader
Adobe Flash Player
Java(JRE)
Microsoft Windows など
バージョンアップを忘れずに！
対策済ソフトウエアを適用することで、マルウエアに感染しないようにすることが出来る。
最近のWindowsはセキュリティ強化されているので安心だという情報もある。
WinSCPはセキュリティ安心度高い
セキュリティ安心度
WinSPC ＞ Filezilla ＞ FFFTP
WinSCPはセキュリティ安心度高い
FTPS接続対応。
SSHを利用した暗号化ファイル転送方式であるSFTP接続とSCP接続にも対応している。
マスターパスワードにも対応。
FFFTP マスターパスワード 設定方法
参考サイト
https://ja.osdn.net/projects/ffftp/wiki/%E3%83%98%E3%83%AB%E3%83%97%2F%E4%BD%BF%E3%81%84%E6%96%B9%2F%E3%83%9E%E3%82%B9%E3%82%BF%E3%83%BC%E3%83%91%E3%82%B9%E3%83%AF%E3%83%BC%E3%83%89
ヘルプ / 使い方 /
マスターパスワードとは
・FFFTPに登録したホスト設定のパスワードを暗号化するためのパスワードがマスターパスワード。
・マスターパスワードを設定することで、安全性が向上する。
マスターパスワードは非常に重要。
・必ずマスターパスワードを設定して使用する。
マスターパスワードの設定方法
・接続メニューの設定→マスターパスワードの変更で行う。
・マスターパスワード設定実例
ホスト一覧＞a●●.com＞接続＞設定＞マスターパスワードの変更＞新しいマスターパスワードを2回入れてください＞2回入れた
ホスト一覧には他にもk●●.comやwww.b●●.com、www.c●●.co.jpなどがあるが、マスターパスワードは共通しているようだ。マスターパスワードは忘れないこと。当然だ
マスターパスワードは、ホストに接続する時のパスワードとは関係なく任意だ。
マスターパスワードと各ホストに接続するためのパスワードは別物だ。
マスターパスワードはFFFTPに記録できない。
なお、入力したマスターパスワードの前後にスペースが入っている場合は無いものとして扱われるそうだ。
・ファイル転送にはSFTPが安全性が高いらしい。
（セキュアシェル・ファイル・トランスファ・プロトコル）
SSH（セキュアシェル）による暗号化・認証化を行う。
安全にリモートネットワーク上の端末と、暗号化された通信経路を通して、
ファイルの送受信などの通信が行えるプロトコルだとか。
そのため、SSHが使用できる環境ならSFTPのサービスも利用可能だそうだ。
ポート番号はSSHと同じく22番ポートを使用している。
・ファイル転送には、FTPSも安全性が高いらしい。
（ファイル・トランスファ・プロトコル over SSL/TLS）
SSL（セキュア・ソケット・レイヤー）/TLS（トランスポート・レイヤー・セキュリティ）による暗号化・認証化を行う。
通信を暗号化することで、データのやり取りを安全に行う。
FTPSで使用するポート番号は、
FTP転送/制御ポートである（989/990）を使用する。
・FTPの危険性
旧来の通信規格。
暗号化されないため外部から傍受できてしまいまう。
クライアントとサーバー間でファイルの送受信を行う点では、
SFTP・FTPSと同様だが、セキュリティ面ではSFTP・FTPSに劣る。
・SFTP、FTPSの違いは？
SFTP・FTPSは、通信方式が違うが、セキュリティ面での要件を満たしている。
安心・安全な通信が可能となる手段として、確立された。
セキュアな情報のやり取りには、暗号化・認証化などが必要だ。
セキュリティが保護された技術を使用することが不可欠だ。
SFTP、FTPSともに「ハイブリッド暗号方式」を採用している。
「ハイブリッド暗号方式」＝「共通鍵による認証」＋「公開鍵による暗号方式」
より安全な通信を行うことが可能だ。
・SFTP
SSHによる暗号化・認証化する。
FTPで送受信するデータを、先述の「SSH」の技術を利用して暗号化する。
SFTPには2種類の接続方法がある
接続方法は二種類。パスワード認証、鍵認証
鍵認証方式は面倒だが、該当する端末でなければ接続できない。安全性高い。
SSHの通信を使って、FTPを行う → SSHで動作するアプリケーション
パスワード認証：IDとパスワードで接続する。
鍵認証：ふたつの「鍵ファイル」のペアを作る。
「公開鍵」をサーバーに、
「秘密鍵」を利用する端末の決められた場所に置いて接続します。
利用できる接続方法は、サーバー会社によって違う
サーバー会社によってSSH・SFTPがどちらの方法で接続できるかが異なる。
・FTPS
SSL/TLSによる暗号化・認証化
FTPで送受信するデータをSSL証明書を通して暗号化する。
一見安全そうだ。
安価なサーバでは証明書自体が安全性の薄いものであることが多い。
FTPの通信をSSL/TLSで暗号化 → FTPの拡張
