الرئيسية / تطوير المواقع / What is an FTP server? ما هو خادم FTP؟ وما هي بروتوكولات الآمنة لنقل الملفات SSH ، SSL ، TLS و HTTPS ؟
ftp
ftp

What is an FTP server? ما هو خادم FTP؟ وما هي بروتوكولات الآمنة لنقل الملفات SSH ، SSL ، TLS و HTTPS ؟

What is an FTP server?

The standard Internet protocol which is used for conveying files between computers on the Internet over TCP/IP connections is called the File Transfer Protocol (FTP).

FTP sessions work in active and passive modes. In active mode, after a client initiates a session via a command channel request, the server initiates a data connection back to the client and begins transferring data; while in passive mode, the server uses the command channel to send the client the information it needs to open a data channel. Passive mode works well across firewalls and Network Address Translation (NAT) gateways since it has the client initiating all connections.

Basically, FTP is a client-server protocol that relies on two communication channels between a client and a server – a data channel for transmitting file content and a command channel for controlling the interaction. Clients initiate interactions with servers by requesting to download a file; using FTP, a client can either upload, download, delete, rename, and move and copy files on a server.

A user typically needs to log onto the FTP server. Anonymous FTP is a name for servers which hold all of their content available without login.

 

ما هو خادم FTP؟

يُطلق على بروتوكول الإنترنت القياسي لنقل الملفات بين أجهزة الكمبيوتر على الإنترنت وذلك عبر بروتوكول TCP / IP.

وهو بروتوكول نقل الملفات وهو بروتوكول خادم العميل على قناتين للاتصال بين العميل والخادم.

يبدأ العملاء بالتفاعل مع الخوادم عن طريق طلب تنزيل ملف ؛ باستخدام FTP ، يمكن للعميل تنزيله

يحتاج المستخدم عادةً إلى تسجيل الدخول إلى خادم FTP.

وعموماً يستخدمه المصممون وأصحاب المواقع لنقل ورفع وتنزيل ملفاتهم على الانترنت .

 

How does FTP work?

FTP works on a client/server model. Files are uploaded from an FTP client to an FTP server where they can be accessed by an application or client. The FTP server runs a daemon that continuously listens for FTP requests from clients.

When the FTP daemon receives a request, it sets up a control session which requests login details and then establishes the connection.

ftp-diagram.png

There are two types of login modes permitted by FTP. In Authenticated mode, the client needs to authenticate with a user id and password before it can gain access to the server. In the Anonymous mode, the client uses the account “anonymous” or “ftp” and provides an email address as the password. Once a control session is set up, the server will execute any of the above commands requested by the client.

Is FTP protocol a secure means of transferring data?

Simply put, no! The simplicity of FTP is its biggest weakness. It can be configured for access without valid authentication. Files are stored unencrypted and data transferred can be easily intercepted by hackers and cybercriminals as it traverses the open internet.

As of late 2016 there were still some 750,000 ‘anonymous’ FTP servers connected to the internet. These are low-hanging fruit to cybercriminals. With minimal effort, a control session can be established. By logging in with the account ‘FTP’ and an email address, they have full access to the directory of files uploaded and still resident on the server.

In March of 2017, the US FBI issued an alert to security teams in the healthcare industry to raise awareness of the risk posed by FTP servers containing Protected Health Information (PHI).

Need Encryption? Enter FTPS, SFTP and HTTPS.  

Along the way, three options, Secure Sockets Layer (SSL), Secure Shell (SSH) and HTTPS, were added to FTP implementations. All three are heavily used to increase the security and reliability of file transfer by using encryption to protect against unauthorized viewing and modification of high-risk data during transmission across open networks.

FTPS

The fastest of the three and the most widely implemented option is FTPS, or FTP over SSL. FTPS secures files being transmitted through FTP with transport socket layer security (TLS). TLS is also sometimes referred to as SSL (it predecessor Secure Sockets Layer). FTPS requires separate control and transmission channels.

SFTP

SFTP (SSH File Transfer Protocol) provides file transfer and administration over a single channel (typically the SSH-2 protocol {TCP port 22}).  It includes some extra features that allows resuming interrupted file transfers and the ability to remove files remotely. SFTP expects the underlying protocol (like SSH) to provide authentication and security.

HTTPS

HTTPS is a more secure version of HTTP. Much like how FTPS uses TLS encryption to transfer files. HTTPS has been around for a while, but was originally used for making payments over the web. As data privacy has become more important, it is deployed on many websites across several industries and required by Google to maintain good search rankings.

Do SSH, SSL, TLS and HTTPS make FTP secure?

SSH, SSL, TLS and HTTPS enable the secure transmission of data. In today’s threat landscape, however, it is important to consider that files are still stored in ‘plain text’ and that FTP servers configured in ‘anonymous’ mode provide an attractive attack vector to cybercriminals.

File transfer solutions have often been relegated to the darkest corner of the lowest wattage server room. It is not uncommon for IT teams to find long-ago deployed home grown FTP solutions that are not well understood, documented or easily maintained being used to manage company data. Files uploaded may never be deleted.

FTP servers also offer convenient command and control platforms for cybercriminals that have breached a networks security defenses. In the infamous Target breach, an internal FTP server was used to send the pilfered credit card data back to the cybercriminals servers.

Need More Layers of Security?

Not only is it important to encrypt data in transit, but it is equally important to protect and encrypt it ‘at rest’ on the file transfer server. Why? Two reasons. One, data exchange files are particularly vulnerable because they exist in a very easily-consumed format. Encryption adds a layer of protection that renders them unreadable by cybercriminals. Two, file transfer servers operate via a daemon that presents a constant attack vector to the open internet. They continuously ‘listen’ for someone trying to gain access.

Secure Managed File Transfer systems, like Ipswitch MOVEit, provide layers of security beyond SFTP, FTPS or HTTPS including encryption of data at rest, integration with your existing security infrastructure and logging of all file transfer activities to provide an automated audit trail.

Encrypt data ‘at rest’

Encrypting data stored on your transfer servers renders it unreadable to cybercriminals. PGP (Pretty Good Privacy) is a common approach which ensures encryption on upload without the requiring special skills on behalf of the user.

Integration with your existing security infrastructure

By integrating file transfer with existing security tools, you can enforce user, system, and file security policies while controlling the movement of sensitive files. This allows you to leverage user authorization/authentication, anti-virus, SIEM and DLP to further protect sensitive data.

Logging of all file transfer activities

With MOVEit, all data interactions, including files, events, people, policies, and processes, are logged in a tamper-evident database. This enables compliance with HIPAA, PCI, GDPR, SOX, FISMA, GLBA, FFIEC and other data privacy regulations.

Wrapping Up

As mentioned before, FTP by itself provides no additional security mechanism besides asking for a password. If the data you are sending is not considered sensitive and/or is restricted to transferring files within your network, then FTP can be perfectly fine to use. Don’t use this simplest form of FTP if sensitive data is being transferred outside your business network.

Which file transfer solution you use simply comes down to your budget, what you are transferring, and the type of encryption you need.

 

 

كيف يعمل FTP؟

يعمل FTP على نموذج عميل / خادم. يتم تحميل الملفات من عميل FTP إلى خادم FTP حيث يمكن الوصول إليها من خلال تطبيق أو عميل. يعمل خادم FTP على البرنامج الخفي الذي يستمع باستمرار لطلبات FTP من العملاء.

عندما يتلقى البرنامج الخفي لبروتوكول نقل الملفات (FTP) طلبًا ، يقوم بإعداد جلسة تحكم تطلب تفاصيل تسجيل الدخول ثم تقوم بتأسيس الاتصال.

ftp-diagram.png

هناك نوعان من أوضاع تسجيل الدخول المسموح بها بواسطة FTP. في الوضع المصادق ، يحتاج العميل إلى المصادقة باستخدام معرف مستخدم وكلمة مرور قبل أن يتمكن من الوصول إلى الخادم. في الوضع المجهول ، يستخدم العميل الحساب “مجهول” أو “بروتوكول نقل الملفات” ويوفر عنوان بريد إلكتروني ككلمة المرور. بمجرد إعداد جلسة تحكم ، سيقوم الخادم بتنفيذ أي من الأوامر المذكورة أعلاه التي طلبها العميل.

هل بروتوكول FTP وسيلة آمنة لنقل البيانات؟

ببساطة ، لا! بساطة بروتوكول نقل الملفات هي أكبر نقطة ضعف. يمكن تكوينه للوصول دون مصادقة صالحة. يتم تخزين الملفات دون تشفير ويمكن للبيانات التي يتم نقلها اعتراضها بسهولة من قبل المتسللين ومجرمي الإنترنت لأنها تعبر الإنترنت المفتوح.

في أواخر عام 2016 ، كان لا يزال هناك حوالي 750،000 خادم بروتوكول نقل الملفات “مجهول الهوية” متصل بالإنترنت. هذه هي الفاكهة لمجرمي الإنترنت. بأقل جهد ممكن ، يمكن إنشاء جلسة تحكم. من خلال تسجيل الدخول باستخدام حساب “FTP” وعنوان بريد إلكتروني ، يمكنهم الوصول الكامل إلى دليل الملفات التي تم تحميلها وما زالوا مقيمين على الخادم.

في شهر مارس من عام 2017 ، أصدر مكتب التحقيقات الفيدرالي الأمريكي تنبيهًا إلى فرق الأمن في صناعة الرعاية الصحية لزيادة الوعي بالمخاطر التي تشكلها خوادم FTP التي تحتوي على معلومات محمية (PHI).

تحتاج التشفير؟ أدخل FTPS و SFTP و HTTPS.
على طول الطريق ، تمت إضافة ثلاثة خيارات ، Secure Sockets Layer (SSL) ، و Secure Shell (SSH) و HTTPS ، إلى تطبيقات FTP. يتم استخدام الثلاثة جميعًا بشكل كبير لزيادة أمان وموثوقية نقل الملفات باستخدام التشفير للحماية من المشاهدة غير المرخصة وتعديل البيانات عالية الخطورة أثناء النقل عبر الشبكات المفتوحة.

FTPS

أسرع الخيارات الثلاثة والأكثر تطبيقًا على نطاق واسع هو FTPS ، أو FTP عبر SSL. يؤمن FTPS الملفات التي يتم إرسالها عبر FTP مع أمان طبقة مقبس النقل (TLS). يشار أيضًا إلى TLS أحيانًا باسم SSL (وهو طبقة مآخذ التوصيل الآمنة السابقة). FTPS يتطلب قنوات تحكم ونقل منفصلة.

SFTP

يوفر SFTP (بروتوكول نقل ملفات SSH) نقل الملفات وإدارتها عبر قناة واحدة (عادةً بروتوكول SSH-2 {TCP port 22}). يتضمن بعض الميزات الإضافية التي تسمح باستئناف عمليات نقل الملفات التي تمت مقاطعتها والقدرة على إزالة الملفات عن بُعد. تتوقع SFTP أن يوفر البروتوكول الأساسي (مثل SSH) المصادقة والأمان.

HTTPS

HTTPS هو إصدار أكثر أمانًا من HTTP. يشبه إلى حد كبير كيف يستخدم FTPS تشفير TLS لنقل الملفات. كان HTTPS موجودًا لفترة من الوقت ، ولكن تم استخدامه في الأصل لإجراء عمليات الدفع عبر الويب. نظرًا لأن خصوصية البيانات أصبحت أكثر أهمية ، يتم نشرها على العديد من مواقع الويب عبر العديد من الصناعات وتطلبها Google للحفاظ على تصنيفات بحث جيدة.

هل SSH ، SSL ، TLS و HTTPS تجعل FTP آمن؟

نعم :يتيح SSH و SSL و TLS و HTTPS النقل الآمن للبيانات. ومع ذلك ، في المشهد الحالي للتهديد ، من المهم مراعاة أن الملفات لا تزال مخزنة في “نص عادي” وأن خوادم FTP التي تم تكوينها في وضع “مجهول” توفر ناقل هجوم جذاب للمجرمين الإلكترونيين.

بحاجة الى مزيد من طبقات الأمن؟
ليس من المهم فقط تشفير البيانات أثناء النقل ، ولكن من المهم بنفس القدر حمايتها وتشفيرها “في بقية” على خادم نقل الملفات. لماذا ا؟ سببان.

أولاً ، ملفات تبادل البيانات معرضة بشكل خاص لأنها موجودة بتنسيق يسهل استهلاكه. يضيف التشفير طبقة من الحماية تجعلها غير مقروءة من قبل مجرمي الإنترنت.

ثانياً ، تعمل خوادم نقل الملفات عبر البرنامج الخفي الذي يقدم متجهًا ثابتًا للهجوم على الإنترنت المفتوح. يستمعون باستمرار إلى شخص يحاول الوصول.

توفر أنظمة نقل الملفات الآمنة المدارة ، مثل Ipswitch MOVEit ، طبقات من الأمان تتجاوز SFTP أو FTPS أو HTTPS ، بما في ذلك تشفير البيانات أثناء الراحة والتكامل مع البنية التحتية الأمنية الحالية وتسجيل جميع أنشطة نقل الملفات لتوفير مسار تدقيق تلقائي.

تشفير البيانات المخزنة على خوادم النقل يجعلها غير مقروءة لمجرمي الإنترنت. PG

عن alhotcenter

صاحب موقع الحوت السوري

اضف رد

هذا الموقع يستخدم Akismet للحدّ من التعليقات المزعجة والغير مرغوبة. تعرّف على كيفية معالجة بيانات تعليقك.

إعلانات جوجل

x

‎قد يُعجبك أيضاً

DNS

What is a DNS leak? ما هو DNS ?

In general, when you type any request in your browser, use an email client, or ...