FFFTPが危ないらしいぞ。

フリーFTPソフト『FFFTP』に、8080系のマルウェア感染と同時にID・パスワードを取得される危険性があるそうです

これ読んで、「うわ。FFFTP消さなきゃ」とか思った奴。はっきり言ってやろう、お前は馬鹿だ。

何が馬鹿だって？ 「マルウェア」の類があったら危険なものを、今まさに何の疑問もなく使っていて、FFFTPだけを悪者にしているからだ。確かにこの問題だけを見れば、FFFTPはヤバい。でも、そのヤバいものを消したところでたいした解決にならない。

「マルウェアの類があったら危険なもの」の代表は、ウェブブラウザだ。だから、FFFTPだけ消して安心してウェブを見ていたら、何の対策も立てたことにならない。FFFTPを消すんだったら、まずウェブブラウザを消せよｗｗｗ

ウェブブラウザはパスワードを保存してくれる。ウェブブラウザに限らず、パスワードを保存するソフトは例外なく

平文でパスワードを保存

している。能天気な奴等は「いや、単なるレジストリ解析ではわからないように対策したよ」とか言っちゃうだろうけど、それは

難読化

がされているだけであって、最終的には平文化されて送信される。ソフトウェアから見れば、

難読 = 平文

でしかない。もちろん、何らかのパスフレーズの類を入力されれば、もっとマシなことになるのだけど、

キーロガー

が仕込まれていたらどうする？ 「マルウェアの類」が入っているのだったら、キーロガーが仕込まれてることを心配する方が先だろう。だいたい、パスワード抜きだったら、そっちの方が効率よく抜けるんだから、心配するならそっちだろう。

環境によってはもっと効率のいい抜き方が出来る。たとえばスニファの類を経路に入れてしまえば、ftpやhttpのように、パスワードが平文で流れるものなら抜き放題だ。

じゃあ、ftpやhttpが「脆弱」かと言えばそうじゃない。もちろん「安全」でもないが、これはそういった

仕様

なのであって、脆弱性とかいう類のものじゃない。豆腐がすぐ崩れるからと言って脆弱だとは言わない。むしろ角の頭ぶつけて死ぬような豆腐は仕様を満たしていない。問題はそういった「仕様」でありながら、ついうっかり

豆腐を構造材として使う

ということをやることであって、豆腐の「脆弱性」に問題があるわけじゃない。ftpやhttpが平文のパスワードを使うとか、FFFTPが平文パスワードをレジストリにしまうとかってのは、そういった「仕様」だってだけだ。

この一連のことで、もう一つマズいのは、「FFFTPが危険」という言葉の裏に「他のftpソフトは安全」というニュアンスを読んでしまう馬鹿頭の不自由な人が出て来るということ。「セキュリティ」とか「脆弱性」とかって言葉は、半可通を思考停止に至らせる危険ワードだ。同じ「脆弱性」を持ったFTPクライアントは世の中に16個はあるはずだ。調べてないけどｗ そーゆーことで、FFFTPが危険だと断じるのは、まぁ勝手なんだけど、

他のソフトが安全って訳じゃない

ことを忘れてはいけない。

ってつまり、まぁ「マルウェア」の存在を仮定しちゃったら、たいていどんなソフトも「脆弱」ってことになっちゃう。だから、件の記事の一番アホなところは、

マルウェアの存在を仮定して脆弱性を論じた

ところにある。これはちょうど、

妊娠にあわててコンドームつける

というのと等しいくらい馬鹿げている。

「マルウェア」ってのは、それが既に存在していること自体が問題なのであって、それに対する「脆弱性」とかは考えてもあまり意味がない。戦場で後ろから撃たれることを心配するのは、あまり意味がないのと同じだ。もちろん個々の特定のマルウェアに対する対策をすることは出来るし、しないよりはした方がマシではある(だからレジストリの難読化それ自体が無意味とまでは言わない)。「特定のマルウェア」に対する対策はそれで十分かも知れない。でも、そもそもセキュリティ的には、

マルウェアが入ってる時点で負け

なのだ。だから、取るべき対策はマルウェアの侵入であって、それをさせないための脆弱性への対策だ。つまり、

コンドームは妊娠する前につけろ

ってこと。あるいは、後ろから味方を撃つような奴を仲間にしないってことだ。

まぁ、↑とかってこともあるんだけど、本当は

今時ftpなんて使うなよ

って言いたいところ。セキュリティ的にもいろいろアレだし、プロトコルも古くていろいろ面倒が多いし、良い点なんてどこにもない。いやもちろん現状しょうがない事情もわかるんだけどさ。件の話もどうも「FTPでサイト更新」していたところが被害受けてとか、そーゆー話らしい。「現状しょうがない」とかやってて痛い目にあったとゆーこと。

それでもなお「FFFTPは危険」と言いたい人は、とりあえずウェブブラウザを消しておくか、「パスワードを保存」は使わないのが良いと思うよ。ついでに、自動補完も動かさない方がいい。まぁ、LANも含めて

ネットにつながない

のが一番だけどさ。

PS.

「平文でパスワードが読めるのは脆弱性」とか言ってるのがいるけど、それプログラムにとっては、パスワードが保存出来たらみんな「平文でパスワード読める」ことになるわけで。でなかったら保存する意味ないからね。

そういった「仕様」が良いかどうかと、それを「脆弱性」と呼ぶべきかどうかは別の話。

誤解される前に先回りして書いとくと、ログに平文パスワードとか出ちゃうのは、それは脆弱性とはちょっと違うけど、正しい仕様かどうかと言えば、明確に間違い。

個人的な主張で一番声を大にして言いたいのは、

FTPステ

なんだけどさ。