Software-update: FileZilla 3.10.0.1

FileZilla heeft versie 3.10.0.1 van zijn gelijknamige opensource-ftp-client uitgebracht. FileZilla is klein, simpel en toch compleet. Het programma is populair vanwege de geringe belasting van de systeembronnen. Een veelgehoorde klacht is echter dat wachtwoorden onversleuteld op de computer worden opgeslagen. FileZilla is beschikbaar voor Windows, Linux en OS X. Wees voorzichtig met andere bronnen, want er zwerven aangepaste versies op internet die malware bevatten. Wees ook voorzichtig met de 'aanbevolen' download, want die komt met een SourceForge-wrapper waar ook rommel in zit. Op de more download options-pagina staan wel schone installatiebestanden. In deze release zijn de volgende veranderingen en verbeteringen aangebracht:

Bugfixes and minor changes:

• TLS handshakes no longer stall if the server sends ginormous packets during the handshake that do not fit into a single TLS record
• Fix loading and saving the same queue item multiple times
• Post-login commands now work with the protocol set to plain FTP
• MSW: Allow uploading files that are locally opened for writing by another program
• OS X: Fix layout issues in search dialog and filter conditions dialog

Versienummer	3.10.0.1
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, Windows XP, macOS, Windows Vista, Windows 8
Website	FileZilla
Download	https://filezilla-project.org/download.php?show_all=1
Bestandsgrootte	6,09MB
Licentietype	GPL

Reacties (19)

[Sypher]

Opgelet voor OSX users:
Met SFTP gaan de permissies verloren als je files upload.
Die worden dan als "000" erop gezet en dat is niet erg handig.

Dit zat in 3.10.0, de changelog van 3.10.0.1 laat geen fix zien hiervoor.
Iemand heeft dit issue reeds gemeld bij de devs dus wellicht dat de 3.10.0.2 release de fix zal bevatten.

* Sypher is zelf geen OSX gebruiker maar zag het bij zijn collega.

[MegaTronics]

Ondertussen is 3.10.0.2 uit waar dit gefixt is.

[Zezura]

Eenig nadeel aan dit programma is dat de login voor ftp wordt opgeslagen als plaintext en iedereen het zo kan uitlezen die toegang heeft tot je pc.

[Liberteque]

Onbegrijpelijk dat dit nog steeds niet is opgelost, zou dat nu echt zo moeilijk zijn of is er onwil?

Moet zeggen dat het ook wel eens handig was bij een vergeten ftp wachtwoord haha

[NEO256]

Eeuwig hetzelfde rondje. De developers schrijven hierover binnen hun bugtracking software dat ze dit niet willen oplossen omdat het zorgt voor een schijnveiligheid. Ze primair geen ontwikkeling doen in beveiligde opslag, dus dat zal zelfs na 1 goede implementatie later problemen komen, moeten ze zich daar weer mee bezig houden.

Plaats gewoon heel je Filezilla in een crypto volume en klaar of sla je wachtwoorden gewoon NIET op in Filezilla en voer ze in als je inlogt. Zo wie zo veel veiliger.

Als je ze in Filezilla opslaat en je zou ze vergeten kun je ze anders dus ook niet terug halen. Zou je kunnen zeggen dat is jou pakkie aan, maar dat zijn wel dingen waar normale gebruikers tegenaan lopen en waar ze wel weer mee terug komen bij Filezilla.

En als er dan een 'wapen wetloop' start in een open source project om te zorgen dat je accounts kunt recoveren kun je met diezelfde trucks en software dus ook iemand zijn opgeslagen accounts kraken.

Ik vindt het zo wie zo onzin. Als je de PC niet kunt vertrouwen waar je je account op opslaat, moet je misschien je accounts helemaal niet opslaan op die computer en niet gaan mauwen dat X applicatie dat niet voor je oplost door het op wat voor manier ook in bescherming te nemen.

[Zezura]

ja maar het proberen van in ieder geval script kiddies buiten te houden, of gewoon niet willen doen, vind ik twee verschillende dingen.

Dit gaat wel over mensen die dit in bedrijfsleven gebruiken waarbij er dus andere mensen toegang kunnen hebben tot de pc.

die mensen zijn waarschijnlijk geen cryptgraven, dat betekent dat je met een redelijk fatsoenlijke implementatie die mensen er wel uit houdt. en huis/tuin/keuken gebruikers.
met zon redelijke implantatie houd je die mensen er wel buiten.

echte hackers houd je toch niet buiten.
het gaat hier om mijn omgeving die niet zo even mijn ftp gegevens kan overnemen.

en ik als software engineer ben van mening, dat ik liever een redelijke implementatie security inbouw dan helemaal geen, omdat het zogenaamd toch geen zin heeft.

Met zon redenatie, heeft TLS, en alle crypto protocollen allemaal geen zin.
want iemand heeft ze gemaakt dus kan ze ook kraken.

dit vind ik gewoon laks software engineering.

[Reactie gewijzigd door Zezura op 24 juli 2024 09:11]

[NEO256]

Correcties TLS en crypto protocollen zijn gemaakt met het doel veilig te zijn.
Deze applicatie makers zeggen, WIJ zijn gen cryptografische toepassing, wij maken geen applicatie(s) die veilig een bestand kunnen opslaan.

Wij gaan er daarentegen wel voor op een correcte implementatie van SSH en TLS te doen. Deze standaarden zijn namelijk veilig en worden gebruikt. En als ze 'zo goed zijn' dan zijn ze in onze applicatie ook veilig omdat ze geïmplementeerd zijn zoals je zou verwachten.

Ik zou graag zien dat ze een plugin bouwen op basis van TrueCrypt die heel de profile file opslaat en beveiligd met een wachtwoord.

Maar als je dit verplicht maakt dan gaan mensen weer stuiteren... dus... Vindt het allemaal beetje slap verhaal. Negeer dit feit en klooi wat aan of neem het serieus en neem zelf ook je stappen. Als Filezilla is opgestart kun je waarschijnlijk zo de wachtwoorden uit het geheugen vissen.

Ofterwijl, als je fysieke toegang hebt kun je toch al ALLES, waarom dan alleen je wachtwoord beschermen door die te 'beveiligen' door er een standaard wachtwoord (of iets dergelijks) op te zetten.

[Durandal]

Ik neem aan dat je kan kiezen of hij de passwords lokaal op slaat of niet? Dan kiest je toch voor -niet-? (als software engineer met een idee over security)

Lijkt mij simpel; ze doen geen security en zijn dar duidelijk over. Dan kan je kiezen dit pakket te gebruiken en het zelf te regelen of op zoek te gaan naar een ander pakket.

(Tevens kan je er natuurlijk ook zelf een security implementatie in hangen als je de motivatie hebt..)

[Reactie gewijzigd door Durandal op 24 juli 2024 09:11]

[Soulshaker]

FTP is op zich ook niet zo veilig , SFTP is dan meer aan te raden

[Verwijderd]

Correct. Maar dat doet nog niets af van het feit dat je wachtwoorden in Filezilla domweg plaintekst in je XML staat.

[Soulshaker]

http://9gag.com/gag/anXQBNb

[Jace / TBL]

Onwil, omdat ze zeggen dat het schijnveiligheid biedt.

Deels correct, omdat encryptie met een of andere sleutel die in de software zit opgeslagen, geen zak helpt omdat die software opensource is en iedereen die sleutel kan achterhalen.

[Liberteque]

Het maakt mij persoonlijk niet zoveel meer uit, ik gebruik al jaren de vraag om wachtwoord optie. Was gewoon nosy..

[kalikatief]

En al was dat niet zo dan was er wel een tooltje online die behulpzaam de versleuteling ongedaan maakt. Immers, Filezilla moet het wachtwoord op de een of andere manier kunnen lezen om het automatisch te kunnen gebruiken bij het inloggen. Kijk bijvoorbeeld eens naar de Nirsoft tools; die doen precies zoiets voor verschillende (nu enigzins verouderde) programmas.

De meest robuust veilige oplossing is je wachtwoorden in een wachtwoordkluis te zetten, en deze dan zo configureren dat deze het aan Filezilla voert op het moment dat deze het nodig heeft.

[dieplz]

Het is toch van de zotte dat je naar de "more download options" pagina moet gaan om een schone versie te zoeken. En dan nog niet eens 100% zeker ervan kunnen zijn dat het daadwerkelijk schoon is.

[ironx]

Waarom mensen de post van dieplz als off-topic modden is mij een raadsel. FileZilla is een redelijk bekend Open Source programma dat zich op de een of andere manier wel in een vreemd daglicht plaatst door zich te laten verpakken met OPTIONELE rotzooi van SourceForge en dat als main-download aan te bieden.

Als ze geld nodig hebben, waarom dan geen donatie-button bij/na het installeren of op de website/in het about-scherm? Waarom de vreemde keuze om je eigen software te verpakken met allerlei rommel? Wij weten nu waar een 'schone' versie kunnen downloaden, maar leken/mensen die het voor het eerst downloaden en dus potentiele nieuwe vaste gebruikers zijn zullen niet alle pagina's aflopen en alles ULA's lezen.

Daarbij lijkt het ook nog eens tijdens de installatie alsof het de gebruikersovereenkomst van FileZilla betreft terwijl het over de meegeleverde troep gaat, en mensen dus eerder geneigd zijn om op OK of Accept te klikken. Leuk welkom als ze het dan geinstalleerd hebben en er draait ook direct allerlei (moeilijk te verwijderen) crap op de achtergrond.

Persoonlijk vind ik het een rare en onlogische keuze, maar dat is mijn mening...

[Reactie gewijzigd door ironx op 24 juli 2024 09:11]

[GoBieN-Be]

Omdat een donatie knop, slechts dat is, een knop. Misschien is er 0,1% van de mensen die daadwerkelijk iets doet met die knop. Mensen verwachten dat populaire tools gratis zijn en blijven, en bugs snel opgelost worden, maar iets terug geven doen de meeste niet.

Verder kan ik me voorstellen dat Sourceforge misschien dit ook vereist om hun dienst gratis aan te leveren (hosten van de bestanden), eventueel met een split income model tussen Sourceforge en de software ontwikkelaar.

[markvt]

Is niet verplicht bij sourceforge is een opt-in.

[Verwijderd]

Je beste alternatief geheel zonder SourceForge rommel is de Nightly Build:

https://filezilla-project.org/nightly.php