Mozilla gaat ftp-protocol deels blokkeren in Firefox 61
Mozilla gaat het ftp-protocol deels in Firefox 61 blokkeren, zo heeft de opensource-ontwikkelaar aangekondigd. Ftp (File Transfer Protocol) is een protocol om, zoals de volledige naam al doet vermoeden, bestanden van de ene naar de andere computer te kopiëren. Een zeer groot nadeel van ftp is dat er op onbeveiligde wijze informatie wordt uitgewisseld. Inloggegevens worden als platte tekst naar de ftp-server verstuurd.
"Het fundamentele onderliggende probleem met ftp is dat alle data onversleuteld wordt uitgewisseld en in platte tekst verstuurd, waardoor aanvallers de verstuurde data kunnen stelen, spoofen en zelfs aanpassen. Veel malware-campagnes maken gebruik van gehackte ffp-servers en downloaden via het ftp-protocol malware op de apparaten van eindgebruikers", aldus Mozillas Christoph Kerschbaumer.
Daarom worden in Firefox 61 alle "ftp subresource loads" vanaf http- en https-sites geblokkeerd. Hierdoor zal het voor websites niet meer mogelijk zijn om bijvoorbeeld afbeeldingen, scripts en iframes via ftp te laden. Firefox 61 staat gepland voor 26 juni van dit jaar. Eind vorig jaar kondigde Google al aan dat Chrome ftp-locaties als "niet veilig" gaat weergeven.
En hoe ga je sftp in de Firefox browser benaderen? Bovendien is SFTP helemaal geen FTP. Het is een uitbreiding van SSH die men voor het gemak (...) maar SFTP heeft genoemd. Je verwart met FTP(E)S, dat FTP over SSL is.
Of bedoelde je met SFTP FTP over SSH? Dat heet FTPS. SFTP staat voor SSH File Transfer Protocol, iets dat ik niet zo snel voor subresources van webpagina's gebruikt zie worden.
https://www.itcentralstation.com/categories/managed-file-transfer Zoveel leveranciers en tools die gaan echt niet ieder voor zich een eigen protocol bouwen.
Je moet eens met een veelheid van https://www.ssh.com/ssh/sftp/ Het is niet voor niets dat de File Transfer Functionaliteit zo veel op elkaar lijkt.
Dat nerd geneuzel met woordjes: mijn versie gebruikt dat woordje en jouw versie mag dat woordje niet gebruiken is kolderiek. Het gaat om de functionaliteit. Breng bestand ... over van .... naar ... . (vul maar in).
Anoniem 12:14 zoals je aangeeft en meerdere wegen om die functionaliteit te bereiken. Dan je.
Waarom ik me dan druk maak? Omdat FTP vaak gebruikt wordt om de functionaliteit aan te duiden. Verzand je met techneuten in een gedoe dat er niets meer voor elkaar te krijgen is.
Geen geneuzel met woorden. Het zijn principieel verschillende protocollen. Ook met http kun je files downloaden. dat verschil met ftp is misschien kleiner dan met sftp, alleen lijken de afkortingen meer op elkaar.
Wat ik in het Mozilla verhaal mis is waarom ftp geblokkeerd wordt en http niet. Die data kun je toch ook spoofen en stelen? Als het alleen geblokkeerd wordt bij een https pagina, kon ik het nog begrijpen, maar ze doen het ook bij een http pagina, gezien de foutmelding: "within http(s) pages not allowed"
Je reactie is nogal lachwekkend. En dat mensen vaktermen gebruiken, is vrij normaal. Ga je artsen, die medische termen gebruiken, ook belachelijk maken ? ;)
Er is ook een SFTP protocol die echt FTP is, die is echter niet secure maar simple (Simple File Transfer Protocol)
SFTP is een compleet ander protocol van FTP (ondanks dat het dezelfde soort functionaliteit implementeerd). Het is ook losd van FTP ontwikkeld.
Nou nee, in dit geval gaat het specifiek om (het deels blokkeren van) het FTP-protocol. Dat dit gebruikt wordt om bestanden uit te wisselen is in deze discussie van secundair belang.
Waarom ik me dan druk maak? Omdat FTP vaak gebruikt wordt om de functionaliteit aan te duiden. Verzand je met techneuten in een gedoe dat er niets meer voor elkaar te krijgen is.
Als bovenstaande reactie kenmerkend is voor het niveau van jouw communicatie met 'techneuten', dan snap ik waarom er in jouw omgeving niets meer voor elkaar is te krijgen.
sFTP is SSH FTP over poort 22
FTPs Implicit is FTP over TLS/SSL (standaard)poort 990 met een set van communicatiepoorten welke gedefineerd dienen te worden.
FTPs Explicit is FTP over TLS/SSL (standaard)poort 21 (secure FTP)
En ja, over de toepassingen kan je eindeloos discussiëren, helaas is het zo dat er veel applicaties slechts over FTP kunnen communiceren, misschien dat dit deze ontwikkelaars wakker schudt.
Ps... een browser gebruiken voor FTP..... het kan ;)
Wat is er nu mis met FTP binnen een LAN of als public download server. FTP presteert veel beter als HTTP.
Ja, tuurlijk... Gewoon ftp:// gebruiken. Maar sftp:// wordt dan weer niet ondersteund. Helaas.
Er zijn drie soorten protocol aanvallen, de zogenaamde "confidentiality attack, integrity attack & availability attack".
Niet gaan hacken hoor, is illegaal, mag niet; wel beveiligen tegen hackers, die het wel mogen van staatswege (staasactors).
We zullen wel wat moeten doen om deze aanvallen steeds moeilijker te maken, al is het voor de eigen broodnodige rust en veiligheid.
Dit en het implementeren van security headers o.a. zijn goede aanzetten in die richting.
luntrus
Ik vind het een beetje goedkoop van je om mensen op geneuzel met woordjes aan te vallen. Je kan ook proberen meteen duidelijk te maken wat je bedoelt. Als je met "ftp" niet het protocol dat FTP heet bedoelt maar protocollen om bestanden over te dragen in het algemeen dan kan je dat beter niet met "ftp" aanduiden omdat misverstanden dan volkomen voorspelbaar zijn. Als je je zelf wat nauwkeuriger uitdrukt, wat meer neuzelt om je eigen typering te gebruiken, roep je minder misverstanden op.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
