Vérificateur de connexion anonyme FTP

Qu'est-ce que le FTP anonyme ?

Le FTP anonyme permet de se connecter à un serveur FTP sans compte personnel, avec le nom d'utilisateur anonymous et n'importe quelle chaîne (généralement une adresse e-mail) comme mot de passe. Il servait autrefois à distribuer des logiciels publics, mais il est aujourd'hui considéré comme un risque de sécurité sur les serveurs qui hébergent des données sensibles.

Beaucoup de serveurs l'autorisent encore volontairement - les miroirs des distributions Linux, les serveurs de téléchargement de firmwares et les archives publiques distribuent leurs fichiers ainsi. Le problème, ce sont les serveurs qui l'autorisent par accident : une configuration par défaut restée active, un environnement de test passé en production, ou un répertoire anonyme qui n'aurait jamais dû contenir de données clients. C'est exactement ce trou que ce test détecte.

Comment fonctionne ce test

L'outil se connecte à votre serveur sur le port indiqué, tente une véritable connexion avec le nom d'utilisateur anonymous et rapporte la réponse réelle du serveur - y compris la bannière d'accueil quand l'accès est accordé. Rien n'est téléchargé ni envoyé ; c'est le même échange que tenterait le scanner d'un attaquant, exécuté une seule fois, depuis votre navigateur.

Pourquoi vérifier l'accès anonyme ?

• Un accès anonyme non voulu peut exposer des fichiers privés sur l'Internet public.
• Les attaquants utilisent le FTP anonyme pour déposer des logiciels malveillants ou se servir du serveur comme point de relais.
• De nombreux référentiels de conformité (PCI-DSS, HIPAA) exigent la désactivation du FTP anonyme.

Pendant que vous auditez le serveur : vérifiez les identifiants et l'accessibilité avec le testeur de connexion FTP, et voyez quel logiciel le serveur annonce au monde avec le lecteur de bannière de serveur FTP. Et quand l'audit débouche sur un vrai travail sur les fichiers, FTPie est un client FTP gratuit et moderne pour Windows, avec FTPS et SFTP intégrés.