A chacune de vos connexions sur un serveur FTP, quelqu’un peut intercepter vos identifiants : en effet, le protocole FTP n’intègre pas de mécanisme de cryptage.

Démonstration par l’exemple : si je capture les paquets du réseau avec un analyseur réseau pendant une connexion au serveur FTP de mon blog, le mot de passe apparaît en clair.

Le FTP nest pas un protocole sécurisé : les passwords sont visibles en clair

L’analyseur réseau que j’ai utilisé était Wireshark (pour ne pas le citer) : anciennement Ethereal, c’est de loin le plus complet, et le plus puissant à mon goût.

Pour éviter de vous faire détourner vos identifiants, deux autres protocoles sécurisés sont à votre disposition…

Bien entendu, si vous êtes chez vous sur un réseau local avec un seul poste, vous ne risquez pas grand chose. Cependant, dans le cas d’un réseau d’entreprise, d’un hotspot WiFi, ou d’un cybercafé, je vous laisse imaginer ce à quoi vous vous exposez.

Il existe deux protocoles qui proposent une alternative sécurisée au transfert de fichiers par FTP :

  • SFTP : SSH File Transfer Protocol (standard SSH-2),
  • SCP : Secure Copy Protocol (standard SSH-1),

Tous deux utilisent votre serveur SSH pour se connecter : il n’y a donc pas de configuration supplémentaire à faire. En ce qui concerne vos identifiants, les droits seront les mêmes que ceux de vos utilisateurs/groupes dans /etc/passwd et /etc/group.

Au niveau du choix du logiciel, le plus connu est WinSCP : très simple d’utilisation, il possède des fonctionnalités très sympathiques et vous propose deux interfaces différentes (type explorateur Windows, ou type Total Commander).

Là, vous allez me dire : « ça ne s’applique pas à moi, j’ai un serveur mutualisé« . Si justement, certains hébergements mutualisés proposent quand même la possibilité de se connecter en SSH en plus du FTP : c’est mon cas chez OVH par exemple.

Le même problème se pose pour le protocole Telnet : que ceux qui administrent encore leurs serveurs/switchs/routeurs en Telnet arrêtent tout de suite (sisi, ça existe encore !). Je ne parle pas non plus du POP3, de l’IMAP, du SMTP, de l’HTTP, etc. Il faut savoir qu’une variante dite sécurisée existe pour chaque protocole (POP3S, IMAPS, SMTPS, HTTPS, etc.).