Litera S w protokole FTPS oznacza zabezpieczanie przesyłanych danych poprzez
A. autoryzację
B. uwierzytelnianie
C. szyfrowanie
D. logowanie
Pytanie z egzaminu CKE, czerwiec 2013 (arkusz E.13-X-13.05).
Litera S w nazwie FTPS odnosi się do zabezpieczenia komunikacji, czyli w praktyce do szyfrowania danych przesyłanych między klientem a serwerem FTP. FTPS to rozszerzenie klasycznego FTP o warstwę SSL/TLS, opisane m.in. w RFC 4217. Dzięki temu login, hasło, polecenia sterujące oraz przesyłane pliki nie lecą przez sieć otwartym tekstem, jak w zwykłym FTP. Moim zdaniem to jedna z tych różnic, które warto naprawdę rozumieć, bo w pracy administratora pomylenie FTP z FTPS może skończyć się ujawnieniem danych użytkowników albo zawartości plików. W praktyce serwer FTPS może działać w trybie explicit, zwykle na porcie 21 z komendą AUTH TLS, albo w starszym trybie implicit, często na porcie 990. Dobra praktyka branżowa to używanie aktualnych wersji TLS, np. TLS 1.2 lub TLS 1.3, poprawna konfiguracja certyfikatu serwera i wyłączenie starych protokołów typu SSLv3 czy TLS 1.0. Szyfrowanie nie zastępuje kontroli uprawnień, ale sprawia, że podsłuchujący sieć nie widzi treści transmisji.
W tym pytaniu łatwo pomieszać kilka pojęć bezpieczeństwa, bo logowanie, uwierzytelnianie, autoryzacja i szyfrowanie często występują razem w jednym systemie. W FTPS najważniejsze jest jednak to, że zwykły protokół FTP zostaje opakowany w SSL/TLS, a więc dane przesyłane przez sieć są szyfrowane. Samo logowanie oznacza zwykle proces podania nazwy użytkownika i hasła, ewentualnie rozpoczęcie sesji na serwerze. To może być element korzystania z FTP lub FTPS, ale litera S nie oznacza po prostu logowania. Z mojego doświadczenia uczniowie często idą tym tropem, bo widzą formularz loginu i hasła, więc kojarzą bezpieczeństwo głównie z wejściem na konto. To za mało.
Uwierzytelnianie polega na potwierdzeniu tożsamości użytkownika lub serwera, na przykład przez hasło, certyfikat albo klucz. W FTPS certyfikat TLS może pomagać sprawdzić serwer, ale sednem zabezpieczenia transmisji jest szyfrowany kanał komunikacyjny. Autoryzacja to jeszcze coś innego: decyduje, do jakich katalogów i plików użytkownik ma dostęp po zalogowaniu. Można mieć poprawne uwierzytelnienie i autoryzację, a mimo tego przesyłać dane jawnym tekstem, jeśli używa się zwykłego FTP. Dlatego w kontekście FTPS poprawnym skojarzeniem jest szyfrowanie transmisji, zgodnie z dobrymi praktykami zabezpieczania usług sieciowych.
Uwierzytelnianie polega na potwierdzeniu tożsamości użytkownika lub serwera, na przykład przez hasło, certyfikat albo klucz. W FTPS certyfikat TLS może pomagać sprawdzić serwer, ale sednem zabezpieczenia transmisji jest szyfrowany kanał komunikacyjny. Autoryzacja to jeszcze coś innego: decyduje, do jakich katalogów i plików użytkownik ma dostęp po zalogowaniu. Można mieć poprawne uwierzytelnienie i autoryzację, a mimo tego przesyłać dane jawnym tekstem, jeśli używa się zwykłego FTP. Dlatego w kontekście FTPS poprawnym skojarzeniem jest szyfrowanie transmisji, zgodnie z dobrymi praktykami zabezpieczania usług sieciowych.