A pesar de tener medio siglo a sus espaldas, el Protocolo de Transferencia de Archivos o FTP (File Transfer Protocol) sigue siendo más relevante de lo que puedas creer. Aquí hay algunos consejos útiles para fortalecerlo utilizando conexiones cifradas, control de accesos y firewalls.
Las primeras especificaciones del FTP (File Transfer Protocol) se remontan a 1971 y desde 1974 se ha hecho cierto uso de él. Es mucho más común de lo que se pueda creer a pesar de no ser nuevo, y aunque su versatilidad ha contribuido a su longevidad de servicio, existen vulnerabilidades que ponen en duda su seguridad.
Del mismo modo, hay precauciones que deben tomarse para aumentar su resistencia a los ataques cibernéticos porque, como veremos, el FTP tiene más de una razón válida para continuar su carrera década tras década.
Aquí examinaremos las vulnerabilidades críticas y cómo remediarlas.
Las Razones del FTP
Las especificaciones del FTP actualmente en uso datan de 1985 y, con el tiempo, han sido objeto de integraciones principalmente en el ámbito de la ciberseguridad.
Dos de los puntos fuertes del Protocolo de Transferencia de Archivos son la compatibilidad entre diferentes sistemas y la compatibilidad con versiones anteriores. También hay otras razones que justifican su uso hasta nuestros días:
- Transferencia de archivos de gran tamaño: permite la carga y descarga de archivos de tamaño suficiente como para impedir su envío por correo electrónico o hacer difícil su compartición.
- Velocidad de transferencia: es superior a la garantizada por otros protocolos como, por ejemplo, el HTTP puro.
- Automatización: con simples scripts es posible programar el envío de archivos entre computadoras.
- Gestión de archivos: los datos pueden organizarse en una estructura clásica de árbol (carpetas y subcarpetas).
- Actualización: el FTP sigue siendo un punto de referencia para la actualización de sitios web.
Estas son algunas de las razones que hacen del FTP un protocolo ágil, pero, por otro lado, es importante destacar que en su versión estándar no está cifrado y que, por lo tanto, sufre de cierta inclinación a ciertas vulnerabilidades.
Las Vulnerabilidades del FTP
Ya hemos mencionado la primera vulnerabilidad. El FTP no cifra los datos, lo que significa que se transmiten en texto claro, lo que abre la puerta al espionaje de red para acceder a los servidores, modificar archivos y borrarlos.
Además, el FTP no es inmune a:
- Ataques de intermediarios que hacen posible la manipulación del tráfico de datos.
- Suplantación de identidad (spoofing).
- Denegación de Servicio (DdoS), un ataque que inunda una máquina con solicitudes para que no pueda responder.
- Ataques de fuerza bruta.
- Ataque de rebote FTP (FTP bounce attack), una trampa que convierte al servidor FTP en un punto desde el cual redirigir el tráfico hacia un tercero.
Todas estas son amenazas bien conocidas que pueden mitigarse, comenzando por especificaciones FTP implementadas a lo largo de los años.
Protegiendo las Conexiones FTP
En 1997, con las especificaciones RFC 2228, se introdujeron comandos que restringieron el alcance de acción de los ciberdelincuentes, y lo mismo se hizo con las especificaciones RFC 2773 en 2000. Son medidas útiles pero aún relativamente efectivas frente al arsenal de los atacantes, que ya estaba evolucionando con la creciente penetración de internet en ese momento.
Un soporte adicional proviene de las conexiones seguras de FTP sobre SSL/TLS, que permiten cifrar los datos. La asociación de los protocolos SSL o TLS permite una configuración doble del FTP:
- FTPES, es decir, FTP Explicit Security, una configuración que permite que el cliente solicite al servidor abrir una conexión cifrada.
- FTPS, es decir, FTP Implicit Security, un modo que acepta exclusivamente conexiones cifradas.
El primero de los dos métodos resulta más flexible porque acepta tráfico incluso no cifrado, el segundo es más seguro.
Para proteger la integridad de las transmisiones de datos, es necesario recurrir al Estándar de Cifrado Avanzado (AES), un soporte válido contra los ataques de fuerza bruta.
El control de accesos es ahora imprescindible, al igual que es indiscutible restringir el acceso de un cliente al árbol completo de directorios, limitándolo solo a aquellos destinados al envío o descarga de archivos.
Los dispositivos de red juegan un papel fundamental: los firewalls deben manejar reglas y filtros que permitan el acceso a dispositivos con estándares de seguridad adecuados o, cuando sea posible, limitados a un conjunto de direcciones IP autorizadas previamente.
Luego está la monitorización de los registros, siempre criticada pero siempre fundamental para detectar anomalías y intentos de acceso incluso solo aparentemente sospechosos.
Finalmente, además del FTP estándar, es importante mencionar que existe una alternativa más segura conocida como SFTP (SSH File Transfer Protocol). SFTP utiliza el protocolo SSH (Secure Shell) para cifrar tanto los datos como las credenciales de autenticación durante la transferencia de archivos.
