FTP: il trasferimento di file degli inizi di Internet

Più vecchio di Internet stesso, per decenni lo standard per download e caricamento di siti web – e oggi un rischio per la sicurezza se funziona ancora senza cifratura. Che cos’è FTP, che cosa lo sostituisce e a che cosa prestare attenzione.

Che cos’è FTP?

FTP significa File Transfer Protocol, protocollo di trasferimento di file. Serve a scaricare file da un server o a caricarli su un server – un tempo per esempio programmi, driver o i file del proprio sito web.

FTP lavora con due linee: su una il computer e il server parlano tra loro («Sono Anna, la mia password è …», «Mostrami la cartella», «Dammi questo file»). Sulla seconda passa il file vero e proprio.

Schema: linea di comando sulla porta 21 per comandi come accesso ed elenco dei file, linea dati separata per i file — Due linee: una per i comandi, una per i dati.

Come uno sportello per le ordinazioni con un ritiro separato: si ordina allo sportello, la merce esce da un’altra apertura.

Breve storia

Cronologia di FTP: 1971 prima descrizione, 1985 standard attuale, anni ’90 estensioni, 2005 FTPS, 2021 fine di FTP nei browser — Oltre 50 anni di trasferimento di file.

1971 Abhay Bhushan descrive FTP per ARPANET – prima degli standard dell’e-mail e molto prima del World Wide Web.
1985 Esce la versione valida ancora oggi.
Anni ’90 FTP è il modo per distribuire software. Molti server consentono l’FTP «anonimo», senza un proprio account.
Anni 2000 Gli hoster offrono FTP per caricare i siti web. Nel contempo nascono successori sicuri: FTPS (FTP con cifratura) e SFTP (trasferimento di file tramite SSH).
2021 Chrome e Firefox rimuovono FTP. I link ftp:// non si aprono più nel browser.
Oggi FTP sopravvive soprattutto in apparecchi e processi datati, per esempio scanner, macchine o vecchi strumenti per siti web.

Il problema: tutto in chiaro

L’FTP classico trasmette nome utente, password e file senza cifratura. Chi ascolta nella stessa rete – Wi-Fi pubblico, provider o router violato – può leggere tutto. Particolarmente delicato: con una password FTP spesso si può modificare l’intero sito web, per esempio per introdurre software dannoso.

A ciò si aggiungono attacchi continui: programmi automatici provano password giorno e notte sui servizi FTP aperti, e i vecchi server FTP hanno vulnerabilità note.

I successori sicuri

Confronto: FTP senza cifratura (porta 21), FTPS con cifratura TLS (porta 21 o 990), SFTP tramite SSH (porta 22) — FTP, FTPS e SFTP a confronto.

FTPS è FTP con cifratura (come la S di https). Mantiene le due linee ed è quindi scomodo per i firewall.
SFTP ha in comune con FTP solo il nome: funziona tramite SSH, la connessione sicura per la manutenzione remota dei server, ha bisogno di una sola linea e può usare chiavi invece di password. È la raccomandazione attuale.
Per condividere con le persone sono più adatte piattaforme di scambio cifrate o condivisioni cloud con scadenza che un server.

FTP oggi

I browser non supportano più FTP; serve un programma apposito (p. es. FileZilla, WinSCP).
Molti hoster offrono SFTP oltre a FTP – spesso FTP è attivo solo per abitudine.
Apparecchi come stampanti multifunzione («scan to FTP»), telecamere o controlli di produzione inviano ancora via FTP. Ciò dovrebbe avvenire solo nella rete interna, mai via Internet.
Quasi tutti gli archivi pubblici di download sono passati a HTTPS.

Che cosa arriverà

L’FTP non cifrato continua a sparire. I nuovi sistemi puntano su SFTP o HTTPS.
Anche SFTP si modernizza: SSH passa a metodi che resisteranno ai futuri computer quantistici.
I processi automatici tra aziende passano sempre più da interfacce (API) invece che da file su un server.

Che cosa può fare

Verificare se sul suo sito web o presso il suo hoster FTP è ancora aperto e disattivarlo se nessuno ne ha bisogno.
Per i caricamenti usare SFTP, preferibilmente con una chiave invece di una password.
Usare gli apparecchi che inviano via FTP solo internamente e isolarli da Internet.
Far verificare il proprio dominio dall’esterno: i servizi FTP aperti emergono.

In breve

FTP (1971/1985) trasferisce file tramite due connessioni: comandi sulla porta 21, dati separatamente.
L’FTP classico non è cifrato: password e file possono essere letti.
Dal 2021 i browser non supportano più FTP.
Successori sicuri: SFTP (tramite SSH, raccomandato) e FTPS (FTP con TLS).
Disattivare i servizi FTP non necessari; usare gli apparecchi con FTP solo internamente.