인터넷 응용 보안

FTP 보안

FTP(File Transfer Protocol)는 명령을 주고받는 제어 연결과 실제 데이터를 전송하는 데이터 연결을 분리하여 파일을 주고받는 프로토콜이다. 기본 FTP는 암호화되지 않으므로 계정 정보와 전송 데이터가 평문으로 노출된다. 따라서 기본 설정만으로는 도청을 막을 수 없고, FTPS나 SFTP처럼 암호화 기법을 별도로 적용해야 한다. 익명(Anonymous) FTP는 인증 없이 접근을 허용하는 구성이므로 공격자가 서버에 쉽게 접근할 수 있다. Bounce 공격은 PORT 명령으로 데이터 연결의 목적지를 임의의 호스트와 포트로 지정하여, FTP 서버를 중계지로 삼아 제3의 호스트를 스캔하거나 접속하는 공격이다. 공격자는 서버를 경유하므로 공격 출처가 가려진다. TFTP 공격은 인증 절차가 없는 단순 파일 전송 프로토콜의 취약점을 노리는 범주이므로 Bounce 공격과 구분해야 한다. 대응으로는 PORT 명령의 대상 주소를 제한하고, 익명 접속을 막으며, 암호화된 FTP를 사용한다.