image

XS4ALL gaat stoppen met ondersteuning van ftp

woensdag 5 juli 2017, 14:37 door Redactie, 38 reacties
Laatst bijgewerkt: 05-07-2017, 20:26

XS4ALL gaat stoppen met de ondersteuning van ftp voor het inloggen op homepages bij de internetprovider en geeft klanten straks alleen nog via sftp (secure file transfer protocol) toegang. Dat heeft het bedrijf in een e-mail aan klanten laten weten. In tegenstelling tot ftp worden bij sftp gegevens wel beveiligd verstuurd.

"U krijgt binnenkort extra beveiliging voor uw homepage en account bij ons. De manier waarop u uw homepage aanpast, verandert daardoor", aldus de provider. Vanaf 11 juli zal de servernaam ftp.xs4all.nl vervallen en kunnen klanten alleen nog via sftp.xs4all.nl en poort 22 inloggen. Gebruikers die via sftp willen inloggen moeten wel over software beschikken die dit ondersteunt. XS4ALL adviseert de programma's FileZilla, WinSCP en Cyberduck.

Reacties (38)
05-07-2017, 14:45 door Anoniem
Beter veeeeeel te laat dan nooit. Maar wel triest dat een provider met zo'n naam daarin nu pas stappen onderneemt.
05-07-2017, 14:59 door Anoniem
Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?
05-07-2017, 15:02 door buttonius - Bijgewerkt: 05-07-2017, 15:03
Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.
05-07-2017, 15:04 door Anoniem
Door buttonius: Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.

Het klinkt alsof ze alleen een subdomein (ftp.xs4all.nl) laten vervallen. Valt niks aan te squatten dus.
05-07-2017, 15:09 door Anoniem
Geen idee of xs4all het al doen, maar ssh sleutels en rsync ondersteunen zou wel handig zijn. Als ze toch bezig zijn....
05-07-2017, 15:15 door Anoniem
Door buttonius: Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.

Het gaat om een sub-domein. Domainsquatters maken geen kans.
05-07-2017, 15:21 door Anoniem
Door buttonius: Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.
Is een subdomein, dus succes met registreren..
05-07-2017, 15:25 door Anoniem
Door buttonius: Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.
ftp.xs4all.nl is een subdomeinnaam en geen domeinnaam. Kun je dus prima laten vervallen, zolang ze xs4all.nl niet laten vervallen gaat het allemaal goed.
05-07-2017, 15:30 door Anoniem
Door buttonius: Je wilt hier geen domainsquatter een uitgelezen kans geven.
ftp.xs4all.nl is een subdomein van xs4all.nl. Ze hebben zelf volledig in de hand of en aan wie dat wordt uitgegeven, dit is niet iets dat je buiten xs4all om kan registreren.
05-07-2017, 15:36 door Anoniem
Door buttonius: Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.

Het is een sub domein... Ik denk dat het wel los loopt ;-)
05-07-2017, 15:39 door Anoniem
Door buttonius: Nu maar hopen dat XS4ALL de domain name niet echt laat vervallen (zoals in het bericht staat), maar op die plek een document neerzet dat uitlegt hoe je FileZilla, WinSCP, of Cyberduck moet verkrijgen en gebruiken. Je wilt hier geen domainsquatter een uitgelezen kans geven.
Maar bij XS4ALL hebben ze wel redelijk verstand van dit soort zaken; dus het zal wel goed gaan.

Denk niet dat domainsquatting sowieso gaat werken, het gaat hier immers om een subdomein en niet een volledig domein.
05-07-2017, 15:59 door MathFox
Ja, ik hoop dat xs4all de ftp nodenaam geblokkeerd houdt; anders zou een van haar klanten er mee aan de haal kunnen gaan.
05-07-2017, 16:43 door Anoniem
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?

Ik neem aan dat XS4ALL ftp uit zet als protocol voor al haar klanten. Hartstikke onveilig!
05-07-2017, 16:44 door Anoniem
Door Anoniem: Geen idee of xs4all het al doen, maar ssh sleutels en rsync ondersteunen zou wel handig zijn. Als ze toch bezig zijn....

Dat kan via shell.xs4all.nl
05-07-2017, 17:44 door Anoniem
Door Anoniem:
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?

Ik neem aan dat XS4ALL ftp uit zet als protocol voor al haar klanten. Hartstikke onveilig!

Software is er om te downloaden. Niets geheims aan.
Ik zie geen onoverkomelijk bezwaar om software te downloaden via ftp als er checksums bekens zij of digitale handtekeningen zijn inbgrepen waarmee je kan controleren of de ftp-download goed is gegaan.

Inloggen op een account via ftp is heel wat anders. Daar moet je inderdaad geen ftp voor gebruiken.

De vraag is nu: maakt XS4ALL daar onderscheidt in, en kan je nog wel software e.d. van internet downloaden met ftp
of kan je op geen enkele manier meer ftp gebruiken, dus ook niet meer om te downloaden van internet.

Als ik op de tekst van XS4ALL af ga:
"U krijgt binnenkort extra beveiliging voor uw homepage en account bij ons"
dan geldt het alleen voor toegang tot homepage en account, en kan je nog steeds evenzovrolijk ftp gebruiken om
van internet te downloaden. Dat zou ook wel zo redelijk zijn.

Maar dat zou betekenen dat de titel van security.nl weer eens misleidend is.
FTP gaat niet stoppen met FTP, maar:

FTP gaat stoppen met FTP voor wat betreft toegang tot homepage en account

En dat is heel iets anders dan volledig op alle fronten stoppen met ftp
net alsof XS4ALL abonnees dan niets meer van ftp websites zouden kunnen downloaden als ze dat willen.
05-07-2017, 18:05 door karma4
Ftp sftp functioneel geheel identiek wat bestandsuitwisseling betreft. Er is enkel technisch geneuzel hoe dat gebeurt leesbaar of niet. Als de bedoeling is dat iedereen het mag zien (hlmepage) maakt het daar ook geen verschil.
Blijft enkel over fouten de server software en het zichtbaar zijn over de lijn van het password. Blijkt het password onveilig te zijn.
05-07-2017, 18:11 door Anoniem
Xs4all deelt subdomeinen uit aan klanten, tenzij er een blokkade is op een bepaalde naam, kan een gebruiker een zelf gekozen host naam gebruiken.

Via shell access (ssh) kun je ook www updaten.

Een rsync daemon kun je als gebruiker waarschijnlijk niet zomaar draaien. Een daemon is ook niet nodig, je kunt een rsync verbinding maken met je eigen rsync server via shell.
05-07-2017, 18:36 door Anoniem
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?
Je kunt nog steeds dat stuk software downloaden want andere ftp-servers op het net blijven normaal toegankelijk via XS4ALL. In elk geval totdat ook deze besluiten sftp te gaan gebruiken en ftp af te sluiten.
05-07-2017, 20:02 door Anoniem
Door Anoniem:
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?
Je kunt nog steeds dat stuk software downloaden want andere ftp-servers op het net blijven normaal toegankelijk via XS4ALL. In elk geval totdat ook deze besluiten sftp te gaan gebruiken en ftp af te sluiten.
Ja en de download server bij XS4ALL zelf dat is dl.xs4all.nl niet ftp.xs4all.nl.
Er staat niet dat die ook weg zou gaan.
05-07-2017, 20:11 door Anoniem
Door Anoniem:
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?
Je kunt nog steeds dat stuk software downloaden want andere ftp-servers op het net blijven normaal toegankelijk via XS4ALL. In elk geval totdat ook deze besluiten sftp te gaan gebruiken en ftp af te sluiten.
Okee, duidelijk, bedankt.
05-07-2017, 20:33 door Anoniem
Door karma4: Ftp sftp functioneel geheel identiek wat bestandsuitwisseling betreft. Er is enkel technisch geneuzel hoe dat gebeurt leesbaar of niet. Als de bedoeling is dat iedereen het mag zien (hlmepage) maakt het daar ook geen verschil.
Blijft enkel over fouten de server software en het zichtbaar zijn over de lijn van het password. Blijkt het password onveilig te zijn.

Dit is niet correct. Versleutelde verbindingen weerhouden je niet alleen van afluisteren, maar je voorkomt ook dat andere jouw data kunnen wijzigen. Denk bijvoorbeeld aan een man-in-the-middle attack.
05-07-2017, 20:36 door Anoniem
Door Anoniem: Geen idee of xs4all het al doen, maar ssh sleutels en rsync ondersteunen zou wel handig zijn. Als ze toch bezig zijn....

Naar ik weet kun je een public key achterlaten op de server van xs4all waardoor je kunt inloggen met een ssh sleutel. Dit werkt zover ik weet naar de standaard van ssh.
05-07-2017, 21:18 door Anoniem
wie gebruikt die pagina nou?
slecht voor je privacy!
jouw ip adres is gekoppeld aan je accountnaam bij xs4all wat meestal ook je volledige naam is.
nu ga je een webpagina aanmaken onder je accountnaam.
je geeft niet alleen aan bezoekers alvast de helft weg voor het inloggen op jouw account, nu alleen nog het password zien te achterhalen.
je koppelt daarmee eiegnlijk ook extra informatie voor anderen aan jouw account.
websites tracken jou op ipadres en dus je klantnaam dat er als reverse dns aanhangt.
jij zet onder die klantnaam op die leuk bedoelde website allemaal extra persoonlijke informatie natuurlijk die daarna door derden aan jouw verzamelde internetgedrag gekoppeld kunnen worden.
zolang die pagina in naam gekoppeld is aan je accountnaam en daarmee ook je ip adres kan je er niets zinnigs mee als je ook maar een beetje om je eigen privacy geeft.
sftp is leuk maar dan moeten ze ook de mogelijkheid geven om die naamgeving los te koppelen van je werkelijke accountnaam die je beter zo goed als mogelijk kan afschermen.
05-07-2017, 21:42 door Anoniem
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?
Er staat duidelijk homepages vermeld.
05-07-2017, 21:57 door Anoniem
Door Anoniem:
Door karma4: Ftp sftp functioneel geheel identiek wat bestandsuitwisseling betreft. Er is enkel technisch geneuzel hoe dat gebeurt leesbaar of niet. Als de bedoeling is dat iedereen het mag zien (hlmepage) maakt het daar ook geen verschil.
Blijft enkel over fouten de server software en het zichtbaar zijn over de lijn van het password. Blijkt het password onveilig te zijn.

Dit is niet correct. Versleutelde verbindingen weerhouden je niet alleen van afluisteren, maar je voorkomt ook dat andere jouw data kunnen wijzigen. Denk bijvoorbeeld aan een man-in-the-middle attack.

FTP heeft leesbare (plain text) wachtwoorden. Het tappen van netwerkverkeer is genoeg om toegang te verkrijgen. Dat is een groter risico dan een realtime MitM aanval.

Door Anoniem:
Door Anoniem: Geen idee of xs4all het al doen, maar ssh sleutels en rsync ondersteunen zou wel handig zijn. Als ze toch bezig zijn....

Naar ik weet kun je een public key achterlaten op de server van xs4all waardoor je kunt inloggen met een ssh sleutel. Dit werkt zover ik weet naar de standaard van ssh.

Klopt, je kunt een public key gebruiken in het authorized_keys bestand in de .ssh directory.
06-07-2017, 07:26 door Anoniem
Door Anoniem: Geldt dit alleen voor homepage en account, of kan ik als abonnee van XS4ALL een op internet via ftp beschikbaar stuk software dan ook niet meer downloaden?

Lijkt erop dat ze de ftp van hunzelf aanpassen en uitfaseren door er een sftp oplossing voor gebruiken. In dit artikel wordt niets genoemd over ftp solutions van derden. Lijkt me dus niet dat ftp als oplossing geblokkeerd wordt.
06-07-2017, 08:38 door [Account Verwijderd]
[Verwijderd]
06-07-2017, 09:03 door Anoniem
Door karma4: Ftp sftp functioneel geheel identiek wat bestandsuitwisseling betreft. Er is enkel technisch geneuzel hoe dat gebeurt leesbaar of niet. Als de bedoeling is dat iedereen het mag zien (hlmepage) maakt het daar ook geen verschil.
Blijft enkel over fouten de server software en het zichtbaar zijn over de lijn van het password. Blijkt het password onveilig te zijn.

Ehm SFTP is juist NIET identiek vergeleken met FTP. (Staat in het artikel trouwens ook fout).

SFTP = SSH File Transfer Protocol
FTP = File Transfer Protocol

Het verschil is dat SFTP over een SSH verbinding gaat (en totaal niet compatible is met FTP). Als je wel een secure FTP verbinding wilt hebben kom je op FTPs uit (FTP over SSL).Naast dat zijn er nog een aantal verschillen in poortgebruik en het gebruik van certificaten.
06-07-2017, 09:09 door [Account Verwijderd] - Bijgewerkt: 06-07-2017, 09:12
[Verwijderd]
06-07-2017, 09:13 door Anoniem
Ja ja blaat verhalen over security. Vraag aan jullie: brieven die je real life met de post ontvangt en verzend zijn die ook allemaal encrypted? Of vertrouw jij de post gewoon?
06-07-2017, 09:49 door Anoniem
Door Anoniem:
FTP heeft leesbare (plain text) wachtwoorden. Het tappen van netwerkverkeer is genoeg om toegang te verkrijgen. Dat is een groter risico dan een realtime MitM aanval.
Als je als XS4ALL abonnee je eigen homepage upload via je XS4ALL internet aansluiting komt het verkeer niet buiten
XS4ALL. Vanaf je eigen aansluiting kom je (na je eigen router) eerst bij een access router, dan bij een router in het
datacenter en dan bij de ftp server. De kans dat er dan nog ergens een MitM aanval gedaan wordt door iemand anders
dan een XS4ALL beheerder lijkt me niet groot. En die kan vast wel op een andere manier kwaadaardige bestanden
op je homepage krijgen.
Het is dus allemaal meer voor de bühne. Kijk ons eens veilig zijn.
Als ze op dat gebied echt wat willen doen kunnen ze beter het uploaden naar FTP sites BUITEN hun eigen netwerk
blokkeren. Maar dat heeft natuurlijk veel meer impact inclusief ontevreden en weglopende klanten, dus dat is een
stap te ver.
06-07-2017, 09:52 door Anoniem
Door Anoniem:
Dit is niet correct. Versleutelde verbindingen weerhouden je niet alleen van afluisteren, maar je voorkomt ook dat andere jouw data kunnen wijzigen. Denk bijvoorbeeld aan een man-in-the-middle attack.
Dat was ooit wel mede het doel van versleuteling, maar dit gaat uit van een zekere kwaliteit van de gebruikte certificaten
(omdat je zeker moet weten dat je met de door jou vertrouwde tegenpartij en niet met een man-in-the-middle die alles
ontsleutelt, modificeert, en opnieuw versleutelt), en wat dat betreft is er een race-to-the-bottom geweest, mede mogelijk
gemaalt door de gebruikte boomstructuur van vertrouwen die door de gebruiker in de praktijk niet bijgestuurd kan worden.
06-07-2017, 11:03 door [Account Verwijderd] - Bijgewerkt: 06-07-2017, 12:13
[Verwijderd]
06-07-2017, 15:34 door Anoniem
Door Anoniem:
Als ze op dat gebied echt wat willen doen kunnen ze beter het uploaden naar FTP sites BUITEN hun eigen netwerk
blokkeren. Maar dat heeft natuurlijk veel meer impact inclusief ontevreden en weglopende klanten, dus dat is een
stap te ver.

Dat mag ook niet. Net Neutraliteit.
07-07-2017, 06:24 door spatieman
kop is imho een beetje misleidend.
maar goe, idd, beter laat als niet, nu de rest van alle ISP's nog.
07-07-2017, 21:56 door Anoniem
Door Anoniem:
Door Anoniem:
Als ze op dat gebied echt wat willen doen kunnen ze beter het uploaden naar FTP sites BUITEN hun eigen netwerk
blokkeren. Maar dat heeft natuurlijk veel meer impact inclusief ontevreden en weglopende klanten, dus dat is een
stap te ver.

Dat mag ook niet. Net Neutraliteit.

Kijk maar eens welke providers allemaal 25,137,138,139 en 445 blokkeren.
Mede door die 445 blokkade van providers is de omvang van Wannacry/Petya meegevallen in Nederland.
09-07-2017, 16:01 door Anoniem
Door Anoniem: wie gebruikt die pagina nou?
slecht voor je privacy!
jouw ip adres is gekoppeld aan je accountnaam bij xs4all wat meestal ook je volledige naam is.
nu ga je een webpagina aanmaken onder je accountnaam.
je geeft niet alleen aan bezoekers alvast de helft weg voor het inloggen op jouw account, nu alleen nog het password zien te achterhalen.
je koppelt daarmee eiegnlijk ook extra informatie voor anderen aan jouw account.
websites tracken jou op ipadres en dus je klantnaam dat er als reverse dns aanhangt.
jij zet onder die klantnaam op die leuk bedoelde website allemaal extra persoonlijke informatie natuurlijk die daarna door derden aan jouw verzamelde internetgedrag gekoppeld kunnen worden.
zolang die pagina in naam gekoppeld is aan je accountnaam en daarmee ook je ip adres kan je er niets zinnigs mee als je ook maar een beetje om je eigen privacy geeft.
sftp is leuk maar dan moeten ze ook de mogelijkheid geven om die naamgeving los te koppelen van je werkelijke accountnaam die je beter zo goed als mogelijk kan afschermen.

De meeste inlognamen zijn gekoppeld aan je hosting van de ISP. En je standaard reverse lookup heeft bij xs4all is niet inlog naam. Er klopt dus niet zoveel van je (slecht te lezen) post.

Het is ook je prive home page. Wil je anoniem, dan moet je een andere hosting zoeken.


Door Anoniem:
Door Anoniem:
Door Anoniem:
Als ze op dat gebied echt wat willen doen kunnen ze beter het uploaden naar FTP sites BUITEN hun eigen netwerk
blokkeren. Maar dat heeft natuurlijk veel meer impact inclusief ontevreden en weglopende klanten, dus dat is een
stap te ver.

Dat mag ook niet. Net Neutraliteit.

Kijk maar eens welke providers allemaal 25,137,138,139 en 445 blokkeren.
Mede door die 445 blokkade van providers is de omvang van Wannacry/Petya meegevallen in Nederland.

Dat zal je tegenwoordig vies tegen vallen. Tot zo ver ik weet, bied alleen XS4ALL dit momenteel aan op dit aan te zetten.
11-07-2017, 18:45 door Anoniem
Leuk dat ze stoppen met ftp, maar mijn ipcamera ondersteund alleen ftp en niet sftp.
Kan dus niets meer uploaden naar mijn homeshare bij xs4all
Zijn er überhaupt clouddiensten vdie ftp ondersteunen voor particulieren, die ook nog eens gratis zijn voor een kleine datapakket..
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.