FileZilla

Informations
Développé par	Tim Kosse
Première version	22 juin 2001
Dernière version	3.68.0 (31 octobre 2024)
Dépôt	svn.filezilla-project.org/filezilla/FileZilla3
Écrit en	C++
Interface	WxWidgets
Système d'exploitation	Microsoft Windows, macOS, BSD et GNU/Linux
Environnement	Microsoft Windows et macOS
Langues	Multilingue
Type	Client FTP (en)
Politique de distribution	Donationware
Licence	Licence publique générale GNU version 2 ou ultérieure
Documentation	wiki.filezilla-project.org/Documentation
Site web	filezilla-project.org

Cet article est une ébauche concernant un logiciel libre.

Vous pouvez partager vos connaissances en l’améliorant (comment ?) selon les recommandations des projets correspondants.

FileZilla Client (FileZilla) est un client FTP, FTPS et SFTP, développé sous la licence publique générale GNU. Il est intégré à la liste des logiciels libres préconisés par l’État français dans le cadre de la modernisation globale de ses systèmes d’informations (S.I.).

Il existe également un logiciel de serveur FTP du nom de FileZilla Server. Le logiciel est disponible pour Windows, Mac OS X et GNU/Linux.

Historique

FileZilla a été créé en 2001 par Tim Kosse et deux camarades de classe. Ils décident de rendre le logiciel open-source car il existe déjà plusieurs clients FTP sur le marché et ils ne pensent pas pouvoir commercialiser FileZilla^[2].

Caractéristiques

FileZilla possède les fonctionnalités suivantes :

Pause et reprise d'un envoi ou d'un téléchargement
File d'attente
Commandes personnalisables
Système anti-déconnexion
Détection des temps de pause pare-feu
SOCKS 4 et 5, proxy HTTP1.1 supportés
SSL, SFTP, FTPS
Interface glisser-déposer
Gestionnaire de site avec ses dossiers
Mise à jour et téléchargement
Support multi-langues
Multi-plateforme

Historique

La première version alpha est sortie le 27 février 2001, la première bêta est sortie le 11 avril 2001 et la première version officielle est sortie le 12 juin 2001.

La version 2 de FileZilla (septembre 2002) ne fonctionnait qu'avec Windows, alors que la version 3 est multiplate-forme. Toutefois, la version 3 (sortie en 2007) est une réécriture quasi complète de la version 2, ce qui signifie que certaines fonctionnalités de la version 2 n'ont pu être intégrées, mais comme il s'agit d'un logiciel libre, elles le seront probablement ultérieurement.

Controverse sur le non chiffrement des mots de passe

Pour certains utilisateurs, FileZilla présenterait une faille de sécurité car il ne chiffre pas les mots de passe enregistrés par l'utilisateur (ces informations sont enregistrées en clair dans un fichier XML situé sur le disque dur).

Pour d'autres, il ne s'agirait pas d'une faille de sécurité. La non-protection des mots de passe dans FileZilla est une décision réfléchie et assumée de la part des concepteurs du logiciel. Leur raisonnement est que si un logiciel malveillant comme Gumblar ou similaire est présent sur l'hôte, chiffrement ou pas, les données de connexion seront révélées en capturant les paquets tcp sortant de la carte réseau. En effet, en mode FTP, les données de connexions sont envoyées en clair sur le réseau. Les logiciels malveillants sont également capables de lire les registres mémoire et la frappe au clavier ce qui révèle également les données de connexion ou la clé de chiffrement du fichier des mots de passe. Tous les clients FTP, quels qu'ils soient, sont exposés à ce type de logiciel malveillant.

Le développeur principal de FileZilla, Tim Kosse, considère par ailleurs que chiffrer le fichier des mots de passe peut donner une fausse impression de sécurité. Ce non chiffrement volontaire et assumé aurait aussi pour but de forcer les utilisateurs à faire face à la réalité de la sécurité, de les responsabiliser en quelque sorte.

La prudence impose dans tous les cas de ne pas stocker ses mots de passe, sous quelque forme que ce soit, chiffrée ou non, et d'utiliser les protocoles sécurisés SFTP ou FTPS, supportés par FileZilla, plutôt que le FTP car notoirement non sécurisé.

Le 25 février 2015, la version 3.10.2-rc2 introduit un encodage des mots de passe en Base64^[3]. Toutefois, il ne s'agit pas d'un algorithme de chiffrement mais d'une méthode de stockage de données binaires transcrites en une chaîne de caractères ASCII.

Le 1^er juin 2017, la version 3.26.0 introduit une fonctionnalité de chiffrement des mots de passe enregistrés^[4]. Un mot de passe "master", renseigné par l'utilisateur, est combiné à un salt et haché par étirement de clé avec PBKDF2 et SHA-256 pour produire un HMAC, puis à partir de ce HMAC un couple clé privée/publique ; le salt et la clé publique sont enregistrés. À chaque sauvegarde ou lecture d'un mot de passe, le mot de passe "master" est demandé à l'utilisateur, et ce HMAC sera généré à nouveau pour reproduire la clé privée, permettant de chiffrer ou déchiffrer le mot de passe via AES-256.