News FileZilla: FTP-Client erhält Schutz durch Master-Passwort

[Garrus83]

@Turrican101: Es handelt sich nicht um einen "Fehler".

 

[Simanova]

Und in welchem Menü kann man das Master-Passwort setzen?
Habe aktuell Version 3.26 RC1 drauf.

 

[Nessix]

Komische Argumentation von dem Entwickler. Wenn ich erstmal Malware auf dem PC habe die Passwörter abgreifen soll, werden sowieso die gängigen Quellen unverschlüsselter Passwörter abgegrast und dann sind innerhalb von Sekunden alle Passwörter weg, auch ohne die Notwendigkeit einen Keylogger laufen zu lassen. Bzw sind die Kennwörter dann immer wertlos, nicht nur wenn Keylogger eingesetzt werden. Wenn er so auf Sicherheit bedacht ist wie er sagt, hätte er die Funktion Passwörter zu speichern dann mit einer fetten Warnung versehen oder ganz abschalten müssen. So sieht das eher nach böser Absicht aus, aus welchen Grüden auch immer.

Da sieht man wieder, dass OpenSource auch nur dann was bringt, wenn Fehler auch wirklich gefixt werden. Der Fork ist da auch nur eher Selbstbehelfnis, der dann auch erstmal von jemandem weiter gepflegt werden muss und in dem Fall wurde der ja scheinbar auch nicht gemacht, um ein neues Projekt zu starten, sondern um den einen Fehler zu korrigieren.

Das war ja kein Bug, sondern eine besusste Designentscheidung des Entwicklers.

 

[Turrican101]

Hab ja auch nix anderes behauptet. Wenn Fehler oder Schwachstellen gefunden, aber nicht behoben werden, dann bringts halt nichts, wenn sie gemeldet werden. Warum sie nicht behoben werden ist für den Anweder ja egal.

 

[MaverickM]

Leider hat auch Computerbase (wie andere deutsche Nachrichtenportal) offenbar zu wenig Zeit in den Artikel gesteckt, sonst wäre sicher auch dieser abschliessender Kommentar vom Entwickler(?) mit einer Erklärung wieso dies nicht mehr Sicherheit bringt im Artikel drinnen: [1]

[1] https://trac.filezilla-project.org/ticket/2935#comment:66

Hast Du auch gelesen, was er geschrieben hat!? Dass Passwörter, die man erst gar nicht abspeichert, sicherer, als eine (verschlüsselte) Datei mit allen Passwörtern drin, ist, sollte doch jedem klar sein. Das Zitat ist absolut Sinnentleert.

Ich persönlich nutze seit Jahren FlashFXP und kein Master-Passwort. Wenn Angreifer bereits auf meinem System sind, habe ich ganz andere Probleme als geklaute FTP Passwörter.

 

[mischaef]

Ich denke mal das Problem wird eher sein, dass FileZilla seit jeher die Passwörter der Zugänge unverschlüsselt und im Klartext abgespeichert hat. Wenn jemand Zugang zum eigenen Rechner hat (physikalisch reicht hier schon aus), kann er alle Passwörter einsehen und notieren/kopieren. Natürlich ist ein kopieren der Zugänge auch bei anderen Programmen möglich, welche die PW verschlüsselt ablegen - wenn der Angreifer weiß, wo diese gespeichert werden. Nur es gibt einen großen Unterschied: Hier könnten die Zugänge nur zusammen mit dem Programm verwendet werden (oder er müsste die Verschlüsselung knacken - was bei gesalzener Verschlüsselung nicht unerheblich ist). Bei FileZilla könnten die PW aber vom Programm unabhängig verwendet werden.

Und für einen großen Kundenstamm jedes Mal die PW von Hand eingeben ist sehr umständlich, besonders wenn an die Speicherorte immer wieder zugegriffen werden muss.

 

[BloqueNegro]

Wer 2017 noch Protokolle wie FTP anstatt SFTP nutzt - und das mit Passwoertern statt mit Private Keys - der hat jeglliche Kontrolle ueber sein Leben verloren

 

[heubergen]

Hast Du auch gelesen, was er geschrieben hat!? Dass Passwörter, die man erst gar nicht abspeichert, sicherer, als eine (verschlüsselte) Datei mit allen Passwörtern drin, ist, sollte doch jedem klar sein. Das Zitat ist absolut Sinnentleert.
[...]

Natürlich habe ich den Kommentar auch gelesen und ihn verstanden. Trotzdem wäre es wichtig wenn eine Anschuldigung gegen den Entwickler gemacht wird, ihm auch Platz eingeräumt wird um sich zu verteidigen.

 

[mischaef]

Natürlich habe ich den Kommentar auch gelesen und ihn verstanden. Trotzdem wäre es wichtig wenn eine Anschuldigung gegen den Entwickler gemacht wird, ihm auch Platz eingeräumt wird um sich zu verteidigen.

Die "Anschuldigung" gibt es, wie im Text beschrieben, bereits seit 10 Jahren. Da hatte er genügend Zeit gehabt, sich zu "verteidigen".

 

[fuyuhasugu]

Leider hat auch Computerbase (wie andere deutsche Nachrichtenportal) offenbar zu wenig Zeit in den Artikel gesteckt, sonst wäre sicher auch dieser abschliessender Kommentar vom Entwickler(?) mit einer Erklärung wieso dies nicht mehr Sicherheit bringt im Artikel drinnen: [1]

[1] https://trac.filezilla-project.org/ticket/2935#comment:66

Die Begründung ist grober Unfug. Ein PC mit einem Keylogger ist intrinsisch unsicher, das liegt in der Natur des Keyloggers. Mit gleicher Begründung könnte man Passwörter und alle anderen Sicherheitsmaßnahmen komplett abschaffen, denn die Unsicherheit eines kompromittierten PCs beträfe nicht nur das FTP-Programm sondern alle Programme inklusive Betriebssystem.

 

[patrick888]

Wer was zum Thema Sturkopf von Entwickler lesen will der soll sich auch mal das Thema SSL / TLS in Filezilla geben. Grundsätzlich wird jedes Zertifikat, auch die von einer CA beglaubigten, als nicht vertrauenswürdig eingestuft. Argument seiner Zeit dazu: wer sagt denn auch dass die CAs glaubwürdig sind.

Ja, das sagt mir keiner, Microsoft, Google, Mozilla und co. sind aber offenbar der Meinung dass Sie vertrauenswürdig genug sind. So wird nur Unsicherheit am Ende der Verwertungskette geschürt: dem 0815 Anwender. Völlig falsche Gangart und ich hoffe wirklich dass es einmal ein Tool gibt dass FZ in der Verbreitung und Handhabe ablösen wird.

 

[heubergen]

Die "Anschuldigung" gibt es, wie im Text beschrieben, bereits seit 10 Jahren. Da hatte er genügend Zeit gehabt, sich zu "verteidigen".

Das hatte er jetzt ja auch und ich wünsche mir nur dass ihr diese in einem Satz oder einem Absatz darlegt, von mir aus mit eine Bewertung aus eurer Sicht.

@fuyuhasugu: Ich habe kein Bewertung seines Kommentars vorgenommen sondern nur geschrieben was er gesagt hatte.

 

[mischaef]

So, habe seine Äußerung (verkürzt) im letzten Abschnitt eingefügt.

Bitte danke...^^

 

[heubergen]

Thx

 

[fuyuhasugu]

Ich habe kein Bewertung seines Kommentars vorgenommen sondern nur geschrieben was er gesagt hatte.

Und ich habe mich darum auch nur auf diese sogenannte "BegrÜndung" bezogen. Dass du das eventuell nicht verstehst, mag ja verständlich sein, die für den Entwickler beste Begündung, warum er als Programmierer des FTP-Programmes so argumentiert, ist die oben schon genannte, dass dies einfach an dessen Sturköpfigkeit liegt.

Thx

Dem kann man sich vorbehaltlos anschließen.

 

[MaverickM]

Völlig falsche Gangart und ich hoffe wirklich dass es einmal ein Tool gibt dass FZ in der Verbreitung und Handhabe ablösen wird.

Ich konnte die Beliebtheit von FileZilla ohnehin nie nachvollziehen.

Kann jedem nur FlashFXP empfehlen. Klar kostet das ein paar Dollar, aber ich könnte dir nicht mal mehr sagen wieviel, denn ich hab meine lifetime Lizenz vor 10 Jahren gekauft und kriege immer noch regelmäßig Updates.

 

[Anmeldeblödsinn]

Ich konnte die Beliebtheit von FileZilla ohnehin nie nachvollziehen.

Kann jedem nur FlashFXP empfehlen. Klar kostet das ein paar Dollar...

Und da hast du auch schon den Grund selbst geliefert

Ergänzung (29. Mai 2017)

Und in welchem Menü kann man das Master-Passwort setzen?
Habe aktuell Version 3.26 RC1 drauf.

Bearbeiten > Einstellungen > Oberfläche

Wenn du da das MAsterPW setzt, wird der base64-String (wtf?) in der sitemanager.xml gegen einen "pubkey" ersetzt.

Ergänzung (29. Mai 2017)

Wer 2017 noch Protokolle wie FTP anstatt SFTP nutzt - und das mit Passwoertern statt mit Private Keys - der hat jeglliche Kontrolle ueber sein Leben verloren

Darum geht es aber nicht, es werden lokal die Kennwörter als base64 gespeichert, egal welche Verbindungsart man benutzt.

Ergänzung (29. Mai 2017)

Wer was zum Thema Sturkopf von Entwickler lesen will der soll sich auch mal das Thema SSL / TLS in Filezilla geben. Grundsätzlich wird jedes Zertifikat, auch die von einer CA beglaubigten, als nicht vertrauenswürdig eingestuft. Argument seiner Zeit dazu: wer sagt denn auch dass die CAs glaubwürdig sind.

Ja, das sagt mir keiner, Microsoft, Google, Mozilla und co. sind aber offenbar der Meinung dass Sie vertrauenswürdig genug sind. So wird nur Unsicherheit am Ende der Verwertungskette geschürt: dem 0815 Anwender. Völlig falsche Gangart und ich hoffe wirklich dass es einmal ein Tool gibt dass FZ in der Verbreitung und Handhabe ablösen wird.

Find ich eigentlich gut. Es hat schon viel CA-fuckery gegeben um dem ganzen System nicht mehr blind zu vertrauen. Mir beim ersten Connect das Zertifikat zu zeigen und MICH zu fragen ob ICH dem zustimme, so sollte es sein. Hab den Usern meines Servers den Hash zukommen lassen, den sollen sie bitte prüfen und fertig. Keine "meh meh, ich bin selbst signiert", "meh meh, ich laufe in x tagen ab" oder sonstwege Meldungen mehr und schließlich entscheide ich doch lieber selber welche Verbindung ich für sicher halte, nichte mein Programm und eine der xx unbekannten CAs da draußen.

 

[Turrican101]

Ich konnte die Beliebtheit von FileZilla ohnehin nie nachvollziehen.

Na weils OpenSource ist und somit per Definition besser ist als alles andere, egal was für Schwachstellen es hat oder wie blöd die Entwickler sind.