おすすめのFTPソフト

質問

おすすめのFTPソフト

FFFTPを使っているのですが、数ヶ月前にウイルス（Gumblar）に感染して多大な被害を被りました。複数のパソコンで異なるセキュリティソフトを使っていましたが、ノートンインターネットセキュリティ以外のセキュリティソフトを入れていた全てのパソコンが感染しました。

現在のFFFTPは、その当時のGumblarには対応しているのですが、通信を傍受するタイプには対応していないようです。

そこで通信を暗号化するタイプのFTPを探しています。フリーでも有料でもどちらでも構いませんので、使いかってが良く、セキュリティ対策（Gumblar等）が万全なお奨めFTPソフトがあれば教えてください。

ちなみに、
Gumblarの標的になっている主なソフトウェアは以下のようです。
? ALFTP 5.2 beta1
? BulletPloof FTP Client 2009.72.0.64
? EmFTP 2.02.2
? FFFTP 1.96d
? FileZilla 3.3.1
? FlashFXP 3.6
? Frigate 3.36
? FTP Commander 8
? FTP Navigator 7.77
? FTP Now 2.6.93
? FTP Rush 1.1b
? SmartFTP 4.0.1072.0
? Total Commander 7.50a
? UltraFXP 1.07
? WinSCP 4.2.5

回答No.2

mtaka2 · ベストアンサー

> 出来れば、パスワードの保存に強力な暗号化を使ったSFTP等があれば

どうも、質問者さんはちょっと問題を誤解されているように見えます。
「PCがパスワードを記憶」している場合の問題点ですが、たとえパスワードをPC内に暗号化して記録していたとしても、ファイル転送ソフト自身は復号してパスワードを抽出できるようになっているわけですから、Gumblerなどの不正ソフトも同じ手順でパスワードを抽出できます。
どんなに「強力な暗号」を使ったところで、正規の手段と同じ手順で復号できますから、単にパスワードを暗号化して保存しているだけでは何の意味もありません。
根本的に「PCにパスワードを覚えさせている」時点で、それが攻撃される穴になるのです。

一方、sftp/scpでは、強力な認証方法として「公開鍵認証」というものがあります。
公開鍵認証では、接続するのに「パスフレーズ」(いわゆるパスワードのこと。「ワード」より長いので「フレーズ」です)が必要になりますが、
安全確保のため、パスフレーズをPCに覚えさせないのが基本運用となっております。パスフレーズをPCに覚えさせることはできません。

ですが、公開鍵認証の場合、最初にクライアント(FTP転送ソフト)側で「パスフレーズ」を入力して「秘密鍵」と「公開鍵」の組を作成し、その「公開鍵」を接続先のサーバに登録することで、認証できるようにします。
パスフレーズの処理は転送ソフト側で行うものであり、公開鍵を登録してもパスフレーズを知らせるわけではありませんから、同じ公開鍵を複数の異なるサーバに使い回してもパスフレーズが漏れる心配はありません。この「公開鍵」そのものは、誰かに見られてもまったく問題ないものなのです。

「秘密鍵/公開鍵」の作成は一つだけにして、各サーバに登録するのは全て同じ「公開鍵」を使えますので、一つのパスフレーズでどこにでも接続できるようになります。
そういう運用をすれば「サーバがたくさんあるのでパスワードが覚えきれない」という心配はありません。
(公開鍵認証はこういう一つの鍵を使い回す使い方が基本です。サーバごとに鍵を作り分けるなんてことはしません)

というわけで、公開鍵認証を使ってscpやsftpを使うようにすれば、質問者さんの心配は全て解消すると言えます。
ですが、根本的な問題として、接続先のサーバ側が公開鍵認証によるscpやsftpでのファイル転送をサポートしている必要があります。

お礼

大変参考になるご回答を有難うございました。
Filezillaを使わせていただきます。

回答No.1

mtaka2

まず、特定のソフトをターゲットにしてパスワードが盗まれる問題についてですが、

パスワードをPCに記憶させている場合、正規のFTPソフト自身は記録したパスワードを読みとれるようになっているわけ。
そうすると、Gumblerなどの不正ソフトからも正規のソフトと同じ手順をふめば同じようにパスワードを読みとます。
パスワードの読みとりを防ぐことは原理的にできません。

PCにパスワードを記憶させた場合には、どんなソフトであっても、パスワードを盗まれるリスクは避けられない、ということになります。

根本的な対策としては「パスワードをPCに記憶させない」(毎回キーボードからパスワードを入力する)ようにするしかありません。

そういう使い方をすれば、どんなソフトを使っても、PCがパスワードを記憶していないんですから盗まれる心配はまったくありません。

次に、通信の暗号化についてですが、FTPという通信プロトコルでは、パスワードのやりとりなんかは暗号化されていません。
そのため、どんなソフトを使った場合であっても、「FTPでファイルを転送」するかぎりは、その通信を傍受すればパスワードはわかります。

とにかく、FTP を使うかぎりは、暗号化はできませんので、通信を暗号化するためには、ftp 以外のファイル転送手段を使うしかありません。

暗号化通信を行うファイル転送手段としては、 sftp や scp といったプロトコルがあります。
これらを使えば通信が暗号化されるので傍受される心配はありません。

ただし、その場合は、通信相手のサーバ側も sftp や scp に対応している必要があります。
相手がftpによるファイル転送しか対応していない場合は(相手が暗号化通信をサポートしていないわけですから)暗号化通信は不可能です。

最後に、sftp もしくは scp が使える場合での、ファイル転送ソフトのオススメですが、
sftp を使う場合には、Filezilla が、
scp を使う場合には WinSCP が、
定番ソフトかと思います。

お礼

詳しく説明してくださり有難うございます。
手動のパスワード入力を薦めているレンタルサーバーもあるので、
それも考えたのですが、莫大な数のレンタルサーバーを借りているので、
パスワードを全て暗記するのは無理ですし、作業効率がある程度下がってしまうので、
出来れば、パスワードの保存に強力な暗号化を使ったSFTP等があればと思いました。
でも、どのような暗号化でも破られてしまう可能性もあるので、手動入力が一番って
ことなんですね。

Filezillaと、WinSCP、参考にさせていただきます。