【入門編】 ポート21番(FTP)およびポート20番：平文ファイル転送プロトコルにおける認証情報盗聴とマルウェアドロップのリスク – サイバーセキュリティとプライバシー保護実践ガイド

みなさん、こんにちは！ネットワークの裏側で飛び交うパケットの旅を愛してやまない、技術メディアの主筆ライターです。

インフラの世界に足を踏み入れると、様々な「お名前」や「番号」に出会いますよね。その代表が、ネットワークの通信を交通整理する「ポート番号」です。今回は、その中でも特に歴史が古く、そして…現代のセキュリティの世界では「絶対にそのまま使ってはいけない危険な爆弾」として扱われている、あるポートについてお話しします。

そう、ファイル転送の定番として長年君臨してきた、ポート21番（FTP）です。

「えっ、昔から会社で普通に使っているけど？」と思ったそこのあなた！一歩ずつ、その裏側に隠された恐ろしいリスクと、私たちが進むべき安全な未来について紐解いていきましょうね。

—

1. 郵便配達で例える「FTP」の仕組みと危険すぎる現実

まずは、FTP（File Transfer Protocol）がどんな仕組みで動いているのか、身近な例えでイメージしてみましょう。

皆さんが、大切な書類が入った封筒を誰かに送る場面を想像してください。
現代の安全な宅配便（HTTPSやSFTPなど）なら、頑丈な鍵のかかったアタッシュケースに入れ、さらに外から中が見えないように厳重に梱包して届けますよね。

しかし、ポート21番を使う昔ながらのFTPは、いわば「スケスケの透明なプラスチックケースに書類を入れて、そのへんの道端をノーガードで歩いて運ぶ」ようなものなんです。

平文（ひらぶん）で流れるパスワードとID

FTPが通信をするとき、何が起きているでしょうか。
あなたがサーバーに接続しようとするとき、クライアントソフト（FileZillaなど）は、サーバーに対してこんなやり取りを空に向かって大声で叫びます。

  • あなた：「ユーザー名は hogeuser です！」（丸聞こえ）
  • あなた：「パスワードは SuperSecret123! です！」（丸聞こえ）

そう、FTPは暗号化という概念を知りません。入力したパスワードやユーザー名、そしてこれからやり取りする大切なファイルの中身まで、すべて「平文（暗号化されていないただの文字）」のままネットワークの海に放り投げられています。

もし、同じ社内ネットワークや、Wi-Fiの電波を盗み見ている悪意ある第三者（攻撃者）がいたらどうなるでしょうか？
彼らは、流れてくるパケットを「パシャリ」と盗み見（スニッフィング）するだけで、あなたの会社のマスターキー（パスワード）をいとも簡単に手に入れてしまうのです。

—

2. 認証情報の盗聴から始まる「最悪のシナリオ」

パスワードが盗まれると、そこから先は雪崩式に被害が広がります。

1. 不正アクセスの完了: 攻撃者は盗んだ正当なIDとパスワードを使って、堂々とFTPサーバー（ポート21番）の正面玄関からログインします。
2. マルウェアのドロップ（配置）: 攻撃者は、社内の重要な公開サーバーやWebサーバーに対して、不正なプログラム（マルウェアやランサムウェアの種）を勝手にアップロード（ドロップ）します。
3. 感染拡大: アップロードされた不正なファイルが、ユーザーのアクセスをきっかけに実行され、ネットワーク全体がランサムウェアの餌食に……。

「うわ、怖い……」と思いましたよね。
さらに悪いことに、FTPは接続のために 21 番ポート（制御用）だけでなく、ファイルデータをやり取りするために 20 番ポート（データ用）など、別のポートも追加で使います。これがファイアウォール（防火壁）のルール設定を複雑にし、セキュリティ上の穴をさらに広げやすいという厄介な特徴も持っているのです。

—

3. 今すぐやめるべき！「平文FTP」から「セキュアな転送」への移行

「じゃあ、明日からどうすればいいの？」という声が聞こえてきそうですね。
答えはシンプルです。「暗号化機能を持たない古いFTPは捨てて、安全なプロトコルに乗り換える」こと。

実務の世界では、主に以下の2つの選択肢がスタンダードになっています。

  • SFTP (SSH File Transfer Protocol): SSHという強固な暗号化通信の仕組みの上にファイル転送を相乗りさせたもの。ポートはSSHと同じ 22 番を使います。設定もシンプルで、現代のインフラでは最も推奨されます。
  • FTPS (FTP over SSL/TLS): 従来のFTPの仕組みをそのままに、通信経路全体をSSL/TLSで暗号化する仕組み。

それでは、実務でよく使われる設定の具体例を見ていきましょう！

—

4. 実務で役立つ設定サンプルとコード例

インフラエンジニアや開発者が直面する、「FTPからセキュアな環境への移行」の具体的なアプローチをご紹介します。

① Linux（Ubuntu / CentOS）での安全なSFTP環境の構築ポイント

SFTPは、多くのLinuxサーバーで標準搭載されているOpenSSHサーバーの機能の一部として動きます。つまり、特別なFTP専用ソフトを入れなくても、SSHが動いていればすぐに安全なファイル転送が始められます。

サーバーの設定ファイル（/etc/ssh/sshd_config など）で、安全性を高めるための設定例を見てみましょう。

# /etc/ssh/sshd_config の設定例
# セキュアなSFTP専用のサブシステム設定
Subsystem sftp internal-sftp

# 特定のグループ（例: sftp-users）に所属するユーザーだけ、
# ファイル転送（SFTP）のみにアクセスを許可し、シェルログインを禁止して安全性を高める
Match Group sftp-users
    ForceCommand internal-sftp
    ChrootDirectory /var/sftp/users/%u
    AllowTcpForwarding no
    X11Forwarding no

> 💡 ここがポイント！
> ChrootDirectory を使うことで、ユーザーが自分のホームディレクトリの外側（システムの根幹部分）を覗き見できないように「牢屋（jail）」に入れた状態にできます。万が一パスワードが漏れても、被害を最小限に抑えられるゼロトラストの考え方に沿った設定です。

② Pythonを使った安全なSFTPファイルアップロードの自動化

業務の自動化で、Pythonからファイルをサーバーに転送したい場面もあるでしょう。古い ftplib（FTP用）ではなく、安全な paramiko ライブラリ（SFTP用）を使ったコードの書き方です。

import paramiko

def secure_upload_file():
    # 接続先の情報
    hostname = "sftp.example.com"
    port = 22  # SFTPはSSHと同じ22番ポートを使用します
    username = "hogeuser"
    key_path = "/path/to/id_rsa"  # パスワード認証ではなく、より安全な公開鍵認証を使用
    
    # SSHクライアントの初期化
    transport = paramiko.Transport((hostname, port))
    
    try:
        # 秘密鍵を使った安全な接続の確立
        private_key = paramiko.RSAKey.from_private_key_file(key_path)
        transport.connect(username=username, pkey=private_key)
        
        # SFTPクライアントの起動
        sftp = paramiko.SFTPClient.from_transport(transport)
        
        # ファイルのアップロード実行
        local_file = "important_data.csv"
        remote_file = "/var/sftp/users/hogeuser/important_data.csv"
        
        sftp.put(local_file, remote_file)
        print("ファイルのアップロードが安全に完了しました！")
        
    except Exception as e:
        print(f"エラーが発生しました: {e}")
        
    finally:
        # 接続の確実なクローズ
        sftp.close()
        transport.close()

if __name__ == "__main__":
    secure_upload_file()

このコードでは、パスワードを直接コードや設定ファイルに書くのではなく、「公開鍵認証」という暗号のペアを使った認証方式を採用しています。これなら、仮にネットワークの隙間から盗み見られても、合言葉自体が流出することがないため極めて安全です。

—

5. おわりに：境界防御の意識から「すべてを疑う」ゼロトラストへ

いかがでしたでしょうか？
ポート21番（FTP）の平文通信は、かつてのインターネット黎明期には便利で素晴らしい技術でした。しかし、現代のサイバー脅威が巧妙化した世界においては、会社の正面玄関の鍵をかけ忘れて「どうぞ入ってください」と言っているようなものです。

「社内ネットワークだから大丈夫」「昔からこのシステムだから変えられない」という思い込み（暗黙の信頼）を捨て、「通信はすべて盗聴されるものとして扱う」「認証は必ず暗号化された安全な経路で行う」というゼロトラストの視点を持つことが、私たちのインフラと大切なデータを守る第一歩になります。

今日からあなたのシステムでも、ポート21番の稼働状況を確認し、セキュアなSFTP/FTPSへのリプレイスを検討してみてくださいね。それでは、また次回の技術でお会いしましょう！

スポンサーリンク

コメント

タイトルとURLをコピーしました