Milioni di server FTP ancora bloccati nel passato: la crisi della crittografia mette a nudo i flussi di dati globali

È il 2024, ma per milioni di server connessi a internet l’orologio potrebbe essersi fermato decenni fa. Nonostante innumerevoli avvisi sulla sicurezza e un drastico calo d’uso, il File Transfer Protocol (FTP) continua a sopravvivere come un reperto digitale - uno che ancora trasporta file sensibili in giro per il mondo, spesso in piena vista dei criminali informatici. Un nuovo report di Censys rivela una realtà sconcertante: quasi la metà dei sei milioni di server FTP pubblicamente accessibili nel mondo non mostra alcun segno di crittografia, lasciando un’enorme quantità di dati pronta per essere intercettata.

FTP, una tecnologia più vecchia di internet stesso, non è mai stata progettata pensando alla sicurezza. Per decenni, amministratori e aziende vi hanno fatto affidamento per spostare file tra sistemi. Ma il tallone d’Achille del protocollo è fatale nello scenario di minacce odierno: trasmette tutto - incluse le credenziali di accesso - in chiaro. Chiunque disponga degli strumenti giusti e di un po’ di cattive intenzioni può intercettare informazioni sensibili mentre attraversano l’internet aperta.

L’ultima scansione di Censys dipinge un quadro inquietante. Sebbene il numero totale di server FTP sia diminuito di circa il 40% dall’inizio del 2024, quasi 2,5 milioni di quelli rimasti non mostrano evidenze di utilizzo della crittografia. Non si tratta solo di sistemi oscuri nascosti in angoli polverosi del web. Grandi provider di hosting e banda larga - tra cui China Unicom, Alibaba, OVH e GoDaddy - ospitano centinaia di migliaia di queste configurazioni legacy.

I rischi non sono ipotetici. Credenziali FTP rubate sono state al centro di numerosi dirottamenti di siti web e violazioni di dati. Il problema è aggravato dalle configurazioni predefinite: Censys ha rilevato che molti server, soprattutto quelli che eseguono IIS di Microsoft o demoni Linux popolari come Pure-FTPd e vsftpd, o non supportano TLS oppure richiedono agli utenti di inviare le password prima che la crittografia entri in funzione. In altre parole, una parte significativa dei trasferimenti di file nel mondo sta ancora avvenendo come se la crittografia fosse un lusso opzionale.

La distribuzione geografica è altrettanto globale, con punti caldi negli Stati Uniti, in Cina, in Germania, a Hong Kong, in Giappone e in Francia. Non è un problema di nicchia - è un problema sistemico, alimentato da inerzia e comodità. Molti di questi host FTP insicuri sono sottoprodotti di pacchetti di hosting “commodity” in cui le impostazioni sicure predefinite mancano o vengono trascurate.

Gli esperti avvertono che le organizzazioni dovrebbero eliminare gradualmente FTP del tutto, sostituendolo con protocolli sicuri come SFTP (che gira su SSH) o FTPS (FTP su TLS). Per chi non può migrare immediatamente, abilitare la crittografia TLS esplicita è un passo minimo fondamentale - e uno che la maggior parte dei moderni demoni FTP supporta già “out of the box”.

Il messaggio è chiaro: l’era dell’FTP non crittografato dovrebbe essere finita. Eppure milioni di server continuano ad aggrapparsi a pratiche obsolete, esponendo i dati a rischi inutili. Nella corsa tra comodità e sicurezza, troppi stanno puntando sulla fortuna. La prossima violazione potrebbe essere già in transito.

TECHCROOK

Bitvise SSH Server è un software per Windows pensato per sostituire l’uso di FTP non cifrato con trasferimenti sicuri basati su SSH. Offre SFTP e SCP con crittografia end-to-end, autenticazione tramite password o chiavi pubbliche, gestione granulare di utenti e permessi, logging dettagliato e controlli per limitare accessi e operazioni sui file. È utile in contesti dove server legacy espongono ancora credenziali e dati in chiaro: consente di migrare rapidamente verso un canale cifrato senza cambiare l’infrastruttura di base, riducendo il rischio di intercettazione e furto di account. Il prodotto è disponibile su diversi canali e si può acquistare anche su Amazon.

WIKICROOK

• FTP (File Transfer Protocol): FTP è un protocollo che consente agli utenti di trasferire file tra computer o server su una rete, comunemente usato per la gestione dei siti web.
• Crittografia: la crittografia trasforma dati leggibili in testo codificato per impedire accessi non autorizzati, proteggendo informazioni sensibili da minacce informatiche e sguardi indiscreti.
• TLS (Transport Layer Security): TLS è un protocollo di sicurezza che cifra i dati inviati su internet, proteggendo la privacy e garantendo che le informazioni non vengano lette o alterate durante il transito.
• SFTP (SSH File Transfer Protocol): SFTP è un protocollo sicuro che utilizza SSH per cifrare e trasferire file in modo sicuro, proteggendo dati e comandi durante la trasmissione.
• IIS (Internet Information Services): IIS è il software server web di Microsoft per ospitare siti web e applicazioni su server Windows, offrendo una distribuzione dei contenuti sicura e scalabile.