เตือนเรื่อง Filezilla ไม่ปลอดภัย

จ๊ากกกกกกกกกกกกกก

ไม่แปลกใจเท่าไรครับ ข่าวมานานเหมือนกันแต่ยังใช่ อยู่กลัวอยู่เหมือนกันครับ

[quote author=KKE link=topic=29710.msg276834#msg276834 date=1282721264]
filezilla นี่ถ้าเรา save password เอาไว้มันเก็บ password เป็น plaintext ไว้ในไฟล์ครับ
เวลาโดน trojan แค่ antivirus เด้งเตือน นั้่นคือมันเอาไฟล์ password ไปเรียบร้อยแล้วครับ
โดนมากับตัวครับคิดว่ามี antivirus แล้วจะปลอดภัย และเครื่อง pc ลูกค้าก็เคยโดนเช่นกันตอนเช้าเข้าเว็บ antivirus เด้งคิดว่าไม่ีอะไร ที่ใหนได้เว็บโดน ftp เข้ามาแทรก iframe ทันทีตั้งแต่ตอนนั้นเลย[/quote]
ไหง Antivirus ผมเด้งเตือน แต่ไม่เคยโดนขโมย password เลยอ่ะครับ - -"

ผมใช้ smart ftp งิงิ

ได้ยินมาเป็นปีแล้วล่ะครับ คนนั้นคนนี้พูดต่อกันมาแต่ยังไม่เคยเห็นมีมูลความจริงสักที ผมไม่ได้เก่งมากเลยไม่ค่อยรู้เรื่องอะไร ^^ อยากให้ท่านเทพทั้งหลายมาสอนหรือมาบอกวิธีดู password ของ filezilla แบบเต็มตาจะได้ไหมครับ ? ไม่รู้จะให้เชื่อได้ยังไง เจอแต่คนบอกว่าไม่ดี แฮค ดักพาส เก็บรหัสไว้ในไฟล์นั้นนี้แต่ไม่เคยเห็นหลักฐานสักที ครั้นเราจะไปหาเองในเครื่องเราเราก็ไม่รู้วิธี

เข้าใจว่าที่ไม่บอกเพราะกลัวจะเป็นดาบสองคมเอาไปเจาะเครื่องคนอื่น แต่ว่าช่วยทำเรื่องนี้ให้มันรับรู้ด้วยการพิสูจน์หน่อยเถิด มันจะได้ไม่ต้องคลุมเครืออีกต่อไป ถ้ามันไม่ดีจริงคนจะได้รับรู้และไม่ไปใช้มันอีกไงล่ะครับ ผมกลัวว่าคนไม่รู้คอมพ์เสพข่าวสารอะไรไปก็เอาไปบอกต่อเรื่อยไปทั้งที่ไม่มีความจริงพิสูจน์ให้เห็น

เอาล่ะครับ จะมาเล่าให้ฟัง
คือเรื่องนี้มันนานมาแล้ว เริ่มต้นตรงที่ว่า มีคนนึงเค้าไปเจอว่า filezilla เอารหัสผ่านที่เราได้บันทึกไว้ เก็บแบบ plain text (เวลาที่เราสร้าง profile นั่นล่ะ) ซึ่งมี path ที่เก็บแน่นอน สามารถ copy path เปิดอ่านได้ทุกเครื่องที่ใช้ filezilla นอกเหนือจากนี้แล้ว ยังเก็บรหัสผ่าน ณ เวลาที่เราเชื่อมต่อนั้นๆไว้ด้วย (เวลาที่เราเชื่อมต่อแบบไม่สร้าง profile) ซึ่งก็เป็น plain text เหมือนกันอีกนั่นแหล่ะ (นั่นคือเหตุผลที่ว่าทำไมเราถึง reconnect ได้ แม้ว่าไม่ได้สร้าง profile เชื่อมต่อเอาไว้ก็ตาม)

มีคนไปสร้างเป็น ticket ว่าเป็น bug ให้กับทาง filezilla ถ้าผมจำไม่ผิดเริ่มต้นอันแรกที่ปี 2008

แต่แล้ว สรุปได้จากทาง filezilla เอง ได้ปิด ticket พร้อมทั้งให้เหตุผลเหมือนอย่างที่หลายท่านได้พูดไปนั่นแหล่ะ ถูกแล้ว ก็คือ มันไม่ใช่ bug และ ทาง filezilla จะไม่แก้ และไม่เข้าหรัสอะไรในจุดนี้ ทั้งนี้เนื่องมาจาก มันไม่ได้แก้ปัญหาอะไรได้เลย เพราะว่า ถึงจะเข้ารหัสอย่างไร ก็สามารถถูกถอดรหัสได้อยู่ด้วย ด้วยความที่เป็น open source นั่นแหล่ะ มันถอด algorith

ปกติผมติดนิสัยใช้ ssh upload file แล้ว chown เอาครับ

เราหันหลังกับ filezilla มาได้ 3 ปีแล้วมั้ง อัพโหลดไฟล์ก็ขาดตอนได้ตลอด อัพโหลดใหม่ก็ไม่เคยจะครบ 100%
หลงเสน่ห์ความไวในการอัพโหลดเหมือนคนอื่นๆ จนสุดท้ายมาพบว่ามันอัพไฟล์ได้ลวกๆ ตอนอัพโหลดบอรืดต้องมาลองใหม่ซ้ำแล้วซ้ำอีก
ปรับอะไรก็ไม่มีผล จนเลิกใช้มันถาวร มาลอง fireftp ของ firefox ก็ไม่ต่างอะไรไปกับ filezilla เลย

ตั้งแต่นั้นมายันปัจจุบันเราใช้ Coreftp Lite ตลอดเพราะโหลดสเถียรอัพโหลดครบ 100% โหลดต่อได้แม้ขาดการติดต่อ