SFTPとFTPSの長所と短所

ファイル転送サービスの使用で気を付けたいセキュリティポイント

無料のFTPツールは、企業のファイルをマネージドファイル転送サービスに送るのに役立つだろう。ただしセキュリティ要素については考慮が必要だ。セキュリティの専門家がそうした考慮すべき要素について解説する。

公開 2017年05月14日 08時00分

[TechTarget]

印刷する

　あなたの会社では、ライセンスが供与されたオンプレミスのソフトウェアか、SaaS（Software as a Service）として、マネージドファイル転送サービスを実行しているとしよう。その目的は、FTPサーバを使用する場合に比べてセキュリティが強固になり、より細かい管理が可能になることだ。マネージドファイル転送サービスを使用すると、中央管理ポイントで全体的な可視性を得て、パフォーマンスを監視することができる。これは会社のセキュリティチームにとって大きなメリットになる。無料のFTPツールを使用してマネージドファイル転送サービスにファイルを送る計画は、素晴らしいアイデアであるように見える。

　ファイルの転送に取り掛かる前に、無料のFTPツールの長所と短所を確認してみよう。本稿では一例として、ティム・コッセ氏らによって開発された「FileZilla Client」を使用する。FileZilla Clientは、どのプラットフォームにもインストール可能だ。新しいサイトを作成するには、「ファイル」メニューの「サイトマネジャー」オプションを使用する。次に、ホスト名、FTPプロトコルの種類、ログオンの種類など、サーバへの接続に必要なデータを指定する。なお、デフォルトではパッシブモードで接続される。

　ほとんどの企業は、FTPクライアントからのファイル転送をセキュリティで保護するために、「SFTP（SSH File Transfer Protocol）」または「FTPS（FTP over SSL/TLS）」を選択している。「FileZilla Server」ではSFTPがサポートされていないため、サーバにはFTPSを使用して接続することになる。

　FileZilla Clientと異なり、FileZilla Serverは、Microsoftの「Windows」でしか動作しない。サードパーティーのSFTPサーバは多様なプラットフォームで実行される可能性があるため、こうしたサーバへの接続にはSFTPを使用するのが望ましい。ただし、あるサードパーティーのSFTPサーバで利用可能なプラットフォームが、別のサードパーティーのSFTPサーバでは利用不可の場合がある。この点には留意されたい。

併せて読みたいお薦めの記事

ファイル転送サービス10選

大容量ファイルを安全に送る「セキュアファイル転送サービス」10選

ファイル転送サービスの事例

富国生命が契約情報を「ファイル転送サービス」で送受信する理由

OpenSSLの脆弱性「Heartbleed」の影響

SFTPの長所と短所

　SFTPはファイアウォールとの相性が良い。ファイアウォールを経由するにはSecure Shell（SSH）ポートだけを開放すれば済むからだ。このSSHポートは、デフォルトで22番に設定されている。認証やデータ転送も含めて、SFTPの全通信はこのポートを通過する。

　一方、FTPSはファイアウォールとの相性があまり良くない。というのも、ファイアウォール経由でファイルを転送するには、複数のポートを開放する必要があるからだ。

　まず、接続するサーバの初期ポート番号をデフォルト値の21に設定する必要がある。その目的は、認証を行うことと、コマンドを渡すためだ。さらに、ファイル転送のリクエストやディレクトリの一覧表示のリクエストを行うたびに別のポートを開放する必要もある。その上、ドロップダウンメニューから、明示的なFTP over TLSを必要とする暗号化の種類を選択しなければならない。

　FileZillaのネットワークとファイアウォールに関するウィザードでは段階的な手順が示される。この手順に従うことで、ファイアウォール経由でFTPSサーバへのオープンな接続（受信と送信）を確立できる。このウィザードによってポートが適切に構成されるようになっている。ウィザードを使用しなければ、サーバによって不適切なポートが選択される恐れもある。例えば、トロイの木馬などのマルウェア以外には使用されないとファイアウォールから見なされるポートだ。

　ただしFTPSでは、強固なセキュリティのファイアウォールを経由してサーバに接続するのが非常に難しい場合がある。適切なFTPS接続を確立するには、管理者やリモートユーザーがファイアウォールのさまざまなポートを開放しなければならない。誤ったポートを開放すると、ネットワークがセキュリティのリスクにさらされる恐れがある。こうした問題を修正しなければならないのはセキュリティチームにとって時間の浪費になる。

　1つの解決策は、あなたの会社で利用しているマネージドファイル転送サービスプロバイダーが運用するSFTPサーバに、FileZilla Clientなどの無料のFTPツールを接続することだ。こうしたSFTPサーバへのファイル転送の保護は中央管理ポイントから対応できる。SFTPではメッセージがバイナリ形式で送受信されるが、FTPSではメッセージがプレーンテキストで転送される場合がある。

その他の考慮事項

　あなたの会社で利用しているマネージドファイル転送ベンダーが、OpenSSLの「Heartbleed」脆弱性の影響を受けた製品を修正しているかどうかを調査されたい。Webサイト「File Transfer Consulting」で公開されているベンダーリストでは、Heartbleed脆弱性が多くのマネージドファイル転送サービスに影響していることが示されている。また同リストから、セキュアファイル転送、FTPサーバ、FTPクライアントのテクノロジーにも影響を与えていることが分かる。

　なお、FileZilla ClientはHeartbleedの影響を受けていない。FileZilla Serverは、最新のOpenSSLを含めるようにサーバをアップグレードしたことで修正済みだ。ただし、FileZilla Serverは、SFTPに対応していない。

　それから、あなたの会社で利用しているマネージドファイル転送ベンダーが米国政府のコンプライアンス要件である「連邦情報処理標準（FIPS）140-2」に準拠しているかどうかを明らかにする必要もある。FIPS 140-2では、SFTPプロトコルとFTPSプロトコル経由での暗号化転送（AESおよびトリプルDES）が扱われている。ベンダーを評価する際に注意すべき他の考慮事項としては、マネージドファイル転送に関する証明書、データベースサーバ、転送のスケジューリング、その他の業界の暗号化標準などが挙げられる。

　マネージドファイル転送サービスの管理者全員が無料のFTPクライアントツールを使ってマネージドファイル転送サービスに接続することを許可しているわけではない。無料のFTPクライアントツールには、FileZilla Clientや、マーティン・プリクリル氏が開発している「WinSCP」などがある。一部のベンダーは、ファイルをサーバに転送する際に専用のFTPクライアントの使用を要件にしている。また、特定の無料のFTPクライアントがサーバに接続することを許可しているベンダーもある。マネージドファイル転送サービスの管理者は、グループやユーザーが社内外で特定のファイルの送受信と共有を禁止することができる。それから、セキュリティ保護されたFTPプロトコルが用意されていないモバイルデバイスでFileZilla Clientを使用することは認めないだろう。

　本稿で取り上げたのは無料のFTPクライアントをマネージドファイル転送サービスと併せて使用する際に考慮すべきことの一部にすぎない。

印刷する