Meillo hat folgendes geschrieben:

IMHO sollte man seinen Webspace grundsätzlich per FTP bestücken - den Zugang vorrausgesetzt.

FTP sollte man nur benutzen, wenn es nicht anders geht. Es gibt viel sichere Möglichkeiten Dateien hochzuladen. Wer etwas mehr bezahl, kann durchaus Zugang via SSH auf den Server erhalten und die Dateien mittels SCP hochladen. Ansonsten würde ich (zumindest für den Upload von wichtigen Dateien - z.B. Verbindungkennung für die Datenbank in PHP) eher noch eine Weboberfläche zum Upload benutzen, wenn diese über HTTPS erreichbar ist.
Ich weiss das gehört nicht unmittelbar zum Theme, aber es ist durchaus wichtig, da FTP selbst gänzlich unverschlüsselt ist (gilt für Passwort und Dateien).

Gruß,
maxk

Moderiert von Christian S.: Abgetrennt von [url=www.delphi-forum.de/...5862.html]hier[/url]

jo, aber der/die liebe Andras wollte das ganze kostenlos --> FTP geht schon noch

Außerdem, sooooo schlecht is FTP ja nun auch nich

harryp hat folgendes geschrieben:

jo, aber der/die liebe Andras wollte das ganze kostenlos --> FTP geht schon noch

Damit scheidet SCP aus, aber einen sicheren Upload via HTTPS schliesst es nicht aus

harryp hat folgendes geschrieben:

Außerdem, sooooo schlecht is FTP ja nun auch nich

Doch! Bei der Anmeldung am Server wird dein Kennwort im Klartext übermittelt. Das ist etwa so, als würdest du den Geldautomaten mit einer Spracherkennungssoftware ausrüsten - könnte auch gut gehen. Viel interessanter ist jedoch das Übertragen der Dateien, da FTP hierfür weitere Verbindungen benötigt. Der Client akzeptiert im Passivmodus dabei jede IP Adresse und schickt die Datei an diesen Rechner - hier wird dann nichtmal auf Benutzername/Kennwort geprüft. FTP ist eine neue Sache, da es eben durch diese zusätzlichen Verbindungen relativ schnell ist. Aber man sollte doch nicht vergessen, dass es nicht das Gelbe vom Ei ist.

Gruß,
maxk

maxk hat folgendes geschrieben:

harryp hat folgendes geschrieben: jo, aber der/die liebe Andras wollte das ganze kostenlos --> FTP geht schon noch Damit scheidet SCP aus, aber einen sicheren Upload via HTTPS schliesst es nicht aus harryp hat folgendes geschrieben: Außerdem, sooooo schlecht is FTP ja nun auch nich Doch! Bei der Anmeldung am Server wird dein Kennwort im Klartext übermittelt. Das ist etwa so, als würdest du den Geldautomaten mit einer Spracherkennungssoftware ausrüsten - könnte auch gut gehen. Viel interessanter ist jedoch das Übertragen der Dateien, da FTP hierfür weitere Verbindungen benötigt. Der Client akzeptiert im Passivmodus dabei jede IP Adresse und schickt die Datei an diesen Rechner - hier wird dann nichtmal auf Benutzername/Kennwort geprüft. FTP ist eine neue Sache, da es eben durch diese zusätzlichen Verbindungen relativ schnell ist. Aber man sollte doch nicht vergessen, dass es nicht das Gelbe vom Ei ist.

FTP ist uralt. Das ist der Grund für die schwachen bis nicht vorhandenen Sicherheits-Features - das Protokoll ist zu einer Zeit entstanden, als das Internet noch ein überschaubares kleines Netz war, das praktisch nur im wissenschaftlichen und universitären Umfeld benutzt wurde. Damals hat man auf Sicherheit noch nicht wirklich geachtet, weil es einfach kein Problem damit gab.

Praktisch jedes FTP-Programm kann mittlerweise aber auch SFTP, also FTP über eine verschlüsselte Verbindung - damit hat sich dann das Problem mit den abgehörten Kennwörtern erledigt.

Für eine private Homepage wäre es mir sowieso egal - da ist doch ohnehin nichts drauf, was ich geheimhalten will. Wenn das jemand hacken möchte, soll er von mir aus.

Stefan

Stimme den beiden letzten absolut zu bis auf, dass es für eine eine private Webseite egal ist. Auch dort sollte FTP stets die schlechteste Wahl sein, weil man sonst schnell zur heimlichen Warez-Seite verkommt. Auch dort sollte bei Wahl FTP die letzte Wahl sein. Und nun kommen wir auch zu dem Punkte warum eine Anwendung von SmartFTP (Ich hoffe sehr, dass dies zumindest sFTP kennt) dem Internet-Explorer (d.h. der Netzwerkumgebung) bevorzugt werde sollte. FTP sollte ähnlich wie TelNET auch sofort die Alarmsiren anschmeißen. Oftmals verwenden die Profis aber gerade die alten Kurzformen, obwohl neue eingesetzt werden. Dann wird "per FTP" hochgeladen und sFTP gemeint. Da wird Telnet gesagt und SSH gemeint. Eine Beschreibung findet sich bei den meisten Anbieten irgendwo im FAQ.

man kann sich auch anstellen....große firmen wie 1und1 nutzen jahrelang nur die normale ftp methode und fahren dabei keine verluste...man kann alles überspitzen.

dann wäre pop3 auch unsicher, und trotzdem benutzt ihr es...
u.s.w.

pop3 ist auch unsicher, wobei es nicht so schlimm ist, wie FTP, da man sich wenigstens das Kennwort sparen kann (z.B. via APOP). Die Mails selbst werden jedoch unverschlüsselt übertragen. Ich benutze es im Übrigen nicht selber, da ich bereits auf IMAPS (lokal) und POP3s (Remote) umgestiegen bin.

Gruß,
maxk

Wollts gerade sagen. Wer nutzt den nicht Pop3s wenn es zur Verfügung steht? Wäre leichtsinnig. Sicherlich kann man immer sagen: Es passiert ja nichts, aber ich denke, dass als Computermensch man ein anderes denken haben sollte und versuchen sollte so viele Schwachstellen wie irgend möglich auszuschließen. Und wenn ich dann z.B. sehe, dass ein "Profi" sich beim KIS seines Provider einlogt mit http, obwohl https zur Verfügung steht, dann würde ich von grober Fahrlässigkeit reden. Und ich denke die meisten wären verwundert wieviele Ihrer Provider sftp zur Verfügung stellen.

Ich lade Daten immer mittels scp auf den Server. Schnell und sicher.
Vor allem, wenn man die Verbindung mit gnupg sichert.

blackbirdXXX hat folgendes geschrieben:

Ich lade Daten immer mittels scp auf den Server. Schnell und sicher. Vor allem, wenn man die Verbindung mit gnupg sichert.

Yup, so mache ich das auch immer.

Stefan

Problem ist mal wieder Windows. Unter Linux gehört scp z.B. zu den Standardtools, die jede Distribution raufpackt. Unter Windows ist sicherste Möglichkeit eine Datei zu übertragen diese mittels Explorer via FTP oder WebDAV zu transferieren. Da Microsoft leider den Standard vorgibt, ist kaum Nachfrage nach sicheren Methoden - schließlich funktioniert es ja.
Sicherheit ist sowieso so eine Sache: Dank ICQ ist es für einen erfahreneren Angreifer ein Kinderspiel das Passwort auszulesen, da das Oscarprotokoll keine Verschlüsslung vorsieht. Ist das Passwort richtig, wird man auf einen x-beliebigen Server weitergeleitet. Es ist also technisch kein Problem das Passwort auszulesen ohne dass der Anwender etwas merkt. Wenn der Anwender überall das selbe Passwort verwendet, was die meisten, die ich kenne tun, so ist der Rest ein Kinderspiel. Wie das übrigens bei anderen IM-Protokollen aussieht, weiss ich nicht. Allerdings empfehle ich an dieser Stelle nochmal Jabber/XMPP via SSL und Psi via GnuPG

Zum Thema: FTP sollte man meiden und sichere Methoden verwenden - genannt wurden ja inzwischen viele. Wenn dies nicht möglich ist, sollte man zumindest ein Passwort verwenden, dass nichts mit anderen Diensten zu tun hat. Man könnten dann z.B. ein Skript auf den Server laden, dass die Daten verschlüsselt entgegen nimmt, decodiert und auf dem Server speichert. Wer jetzt übrigens sagt, dass dies ja den Aufwand nicht lohnt: Meineswissens ist man für öffentlich zugängliche Inhalte auf einem Server verantwortlich - selbst, wenn man sie nicht selbst dorthin kopiert hat, was sich ja schwer beweisen lässt, wenn die eigenen Logindaten im Log stehen.

Gruß,
maxk