FTPS
よみ: エフティーピーエス
Web サーバーにファイルをアップロード・ダウンロードするための従来のルール(FTP)を、SSL(SSL / TLS)/TLS という技術で強力に暗号化したバージョンです。これにより、通信データが平文(ひらぶん：暗号化されていないむき出しの状態)で送受信される従来の FTP の致命的なセキュリティ問題を解消します。(※名前が似ている「SFTP」は SSH という別の技術を使った暗号化ですが、技術的な成り立ちが違うだけで、目的は同じです)。
運用の要点：技術的な違いより「暗号化なし(FTP)は絶対に使わない」という鉄則
Web 担当者が技術的な詳細まで完璧に理解する必要はありませんが、「利用者から見れば、FTPS も SFTP も両方とも安全」「昔ながらの暗号化されていない FTP は絶対に使わない」というセキュリティの絶対ルールだけは骨の髄まで理解しておく必要があります。
実務では、制作会社とのサーバー情報のやり取りで「今回は FTPS で接続してください」と指定されたり、FileZilla や Cyberduck などの FTP ソフトを設定する際に「接続方法(プロトコル)」のプルダウンで選択したりする場面で関わります。
現場でよくある「落とし穴」
「昔からこれでやってるから」という思考停止が、会社を巻き込む大事故を起こします。
- 「平文 FTP」の放置が招く、パスワード盗聴とサイト改ざん：担当者が FTPS・SFTP・FTP の違いを理解しておらず、「設定が面倒だから」「よく分からないから」と、暗号化されていない昔ながらの FTP(平文)でサーバーに接続し続けてしまう。カフェや出張先の公衆 Wi-Fi などで通信を傍受され、サーバーの ID とパスワードが丸見えの状態で悪意のある第三者に盗まれます。結果、自社の Web サイトに侵入されてウイルス(マルウェア)を仕込まれたり、詐欺サイトに書き換えられたりして、アクセスした顧客にまで実害を出し、会社として致命的な信用問題に発展します。
- 業者への「危険なパスワードの渡し方」：新しい制作会社にサーバーの権限を渡す際、業者側から「FTPS で接続したい」と提案されているのに、担当者が意味を分からず「とりあえずこの FTP アカウントで入ってください」と平文の接続情報だけを渡してしまう。セキュリティ意識の低い発注者だと呆れられるだけでなく、事故発生時の責任問題になります。
言葉をよく利用する人
- 情シス
- Web 担当者(発注側)
- コーダー / フロントエンドエンジニア
- バックエンドエンジニア
会話上での使用例
業者からファイル授受の接続方法を案内される場面
-
業者
サーバーへのアクセス情報をお送りします。接続は FTPS で行ってください。
-
Web担当者
FTPS でしたら問題ありません。念のためなのですが、サーバー側の SSL 証明書は最新の状態でしょうか。古いままだと接続警告が出ることがあるので、確認しておきたいです。
-
業者
承知しました。証明書は先月更新したばかりなので大丈夫です。
平文FTPを避ける方針を情シスと確認する場面
-
情シス
今回のファイル連携、FTPS と SFTP のどちらで組めばいいですか。
-
Web担当者
安全性はどちらも同等なので、サーバーが対応している方で大丈夫です。ただ平文の FTP だけは避けたいので、FTPS か SFTP のどちらかでお願いします。
-
情シス
了解です。では対応済みの SFTP で組んでおきます。