アカウント名:
パスワード:
IISのFTPサーバはSSL経由のFTPはサポートされてないから脆弱だと思うのだけれど。SCPとかの代替手段も提供されてないし。いちおうHTTPSのWebDAVが推奨されているが。IIS の FTP (File Transfer Protocol) サービスに関する情報http://support.microsoft.com/?id=283679 [microsoft.com]>IIS の FTP サービスでは、SSL (Secure Sockets Layer) 経由の FTP はサポートされていません。
それでID/PASSをGumblarに収集されて不正アクセスにより改ざんされたってことですよね。IISじゃなくてもセキュアなプロトコルでやってなかったという。
改ざんの原因は運用の脆弱性でしょう。
にしても、FTP がワイドオープン、というのはにわかに信じがたいんだが...。
ISP がユーザ向けに用意する、「あなたのホームページを持ちませんか」用のサイトとか、安価なホスティングサービス用だったら、IP でフィルタリングせずに、どこからでも認証が通れば書き換え可能、というのは分かるけど、今回の JR 東日本のサイトで、FTP をワイドオープンにしておく必要性が感じられない。
これまで、Gumblar と言えば、FTP のアカウント、パスワードを取得して、それによってサイトの改ざんが、という流れだったけど、今回、JR 東日本がやられたという Gumblar の亜種も同様だったのかどうか、気になるところ。
もし、本当に JR 東日本ののサイトが FTP ワードオープンだったら、「そりゃ、ダメだ」と思うが...
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
吾輩はリファレンスである。名前はまだ無い -- perlの中の人
Windows の IISの問題? (スコア:1, オフトピック)
IIS の脆弱性ですか?
Re:Windows の IISの問題? (スコア:1, 興味深い)
IISのFTPサーバはSSL経由のFTPはサポートされてないから脆弱だと思うのだけれど。
SCPとかの代替手段も提供されてないし。
いちおうHTTPSのWebDAVが推奨されているが。
IIS の FTP (File Transfer Protocol) サービスに関する情報
http://support.microsoft.com/?id=283679 [microsoft.com]
>IIS の FTP サービスでは、SSL (Secure Sockets Layer) 経由の FTP はサポートされていません。
それでID/PASSをGumblarに収集されて不正アクセスにより改ざんされたってことですよね。
IISじゃなくてもセキュアなプロトコルでやってなかったという。
改ざんの原因は運用の脆弱性でしょう。
Re:Windows の IISの問題? (スコア:1)
にしても、FTP がワイドオープン、というのはにわかに信じがたいんだが...。
ISP がユーザ向けに用意する、「あなたのホームページを持ちませんか」用のサイトとか、安価なホスティングサービス用だったら、IP でフィルタリングせずに、どこからでも認証が通れば書き換え可能、というのは分かるけど、今回の JR 東日本のサイトで、FTP をワイドオープンにしておく必要性が感じられない。
これまで、Gumblar と言えば、FTP のアカウント、パスワードを取得して、それによってサイトの改ざんが、という流れだったけど、今回、JR 東日本がやられたという Gumblar の亜種も同様だったのかどうか、気になるところ。
もし、本当に JR 東日本ののサイトが FTP ワードオープンだったら、「そりゃ、ダメだ」と思うが...
Re: (スコア:0)
まぁ、普通に考えれば、色々な小道具を使った複雑な攻撃でしょう、セキュリティのプロ中のプロぐらいしか思いつかないような…。