Software-update: FileZilla 3.21.0

Versie 3.21.0 van de opensource-ftp-client FileZilla is verschenen. FileZilla is klein, simpel en toch compleet. Het programma is populair vanwege de geringe belasting van de systeembronnen. Een veelgehoorde klacht is echter dat wachtwoorden onversleuteld op de computer worden opgeslagen. FileZilla is beschikbaar voor Windows, Linux en OS X, en kan vanaf deze pagina in verschillende uitvoeringen worden gedownload.

Wees voorzichtig met het door SourceForge aanbevolen downloadbestand, want dat bevat een 'Web companion' van Lavasoft. Op deze pagina zijn installatiebestanden te vinden die geen extra componenten bevatten. Een verkeerde installatie is eenvoudig te herkennen aan het woord bundled in de bestandsnaam. In deze uitgave zijn de volgende verbeteringen doorgevoerd:

Fixed vulnerabilities:

• Fixed a string format vulnerability introduced in 3.20.0-rc1 when listing directories using SFTP

New features:

• SFTP: Added support for AES-GCM ciphers as implemented in OpenSSH
• OS X: Ctrl+Tab and Ctrl+Shift+Tab can now be used to switch forward and backward between opened tabs

Bugfixes and minor changes:

• Reduced time between TCP keepalive packets to 15 minutes on supporting platforms
• Fixed saving of directory listing filters with an attribute condition

Versienummer	3.21.0
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, Windows XP, macOS, Windows Server 2003, Windows Vista, Windows Server 2008, Windows Server 2012, Windows 8, Windows 10
Website	FileZilla
Download	https://filezilla-project.org/download.php?show_all=1
Licentietype	GPL

Reacties (13)

[sbruggeman]

"Een veelgehoorde klacht is echter dat wachtwoorden onversleuteld op de computer worden opgeslagen. "

Dit was bij oudere versies een groot nadeel. Tegenwoordig worden de wachtwoorden versleuteld bewaard.

[hansvanmeteren]

Kan me niet voorstellen want nooit ergens (ook niet hier) gelezen. Weet je het zeker en waar kan ik het nalezen? Zou wel mooi zijn!

[Voutloos]

Volgens de discussie onder downloads: FileZilla 3.18.0 is het base64 encoded.

Dat is enkel een representatie met 64 tekens, een vaste vertaalslag tussen alle mogelijke karakters en die vaste set van 64. Dat is geen encryptie volgens enige moderne definitie. Mocht je het in een te goede (te ruime) bui per se toch een geheimtaal willen noemen; dan nog onstijgt het het niveau van achterstevoren of van alles 1 volgende letter opschrijven niet.

Het scheelt misschien theoretisch iets als iemand over je schouder meekijkt terwijl je letterlijk het config filetje open hebt (want tekst in base64 is doorgaans iets langer en mogelijk minder makkelijk te onthouden dan een slecht wachtwoord met herkenbare woorden er in), maar meer dan dat doet het niet.

edit:
Downtime noemt hieronder een correct voordeel van encoding. Verder is alles wel gezegd, op security vlak doet het gewoon niets significants, zowel goed of kwaad.

[Reactie gewijzigd door Voutloos op 24 juli 2024 05:33]

[downtime]

Ik denk dat die Base64 encoding niet als encryptie bedoeld is maar gewoon wordt gebruikt om te omzeilen dat je in een XML file bepaalde tekens alleen kunt gebruiken wanneer je die encodeert. Anders kom je in de problemen als een password bijvoorbeeld < of > gebruikt. Met Base64 omzeil je dat probleem. HTML encoding had misschien wel even goed gewerkt.

[erikmeuk3]

Base64 komt de hacker ten goede, als er nog een 7 bits lijn tussen zit.
Ik denk dat het ook te maken heeft met de uitwisselbaarheid van wachtwoord bestanden over een netwerk.

[Reactie gewijzigd door erikmeuk3 op 24 juli 2024 05:33]

[Martinus]

In een van de laatste osx varianten was het het gewoon uit een tekst bestand te halen.

[xDiglett]

Snap niet echt waarom het een nadeel was. Die nutteloze base64 encoding maakt geen enkel verschil.

[mder]

Tja, base64 is natuurlijk geen beveiliging.

[3raser]

Welke beveiliging zouden ze dan moeten toepassen? FileZilla is opensource, dus AES met een masterkey zou ook niets uitmaken aangezien iedereen die masterkey kan zien.

Ik denk dat FileZilla hier het beste een soort van password vault voor kan maken waarbij je zelf het master password op moet geven. Dat komt de gebruikerservaring niet ten goede want dat wachtwoord mag dan natuurlijk niet worden onthouden. Maar een keuze of je dit wel of niet wilt zou dat dan weer op kunnen lossen.

De andere optie is natuurlijk de wachtwoorden niet in FileZilla opslaan maar bijvoorbeeld en KeePass.

[hackerhater]

In mijn geval is gewoon de schijf versleuteld.

[Loller1]

Is dit de changelog van 3.21 tegenover 3.20 of tegenover 3.21-rc?

[Arumes]

De RC.

[sus]

Op de downloadpagina "show additional downloadoptions" aanklikken, dan kan je daar de gewone installatie downloaden, zonder extra meuk. Misschien een idee om dat in het stukje tekst op te nemen vanafde volgende release?