Anwendung veröffentlichen -> Sicherheit

Question

Hallo.

Ich habe nun wieder ein wenig Zeit gefunden und arbeite weiter an meinem Projekt. Es ist so weit, dass ich mit einem Bekannten die ersten Runden spiele wodurch ich viele Bugs finde und deshalb oft eine neue Version bei ihm installiert werden muss. Das ganze kann man ja in den Eigenschafter der Anwendung per automat. Update über ftp machen. Nun steht dort nur immer wenn man ftp auswählt, dass Kennworte als Klartext übertragen und somit abgefangen werden können. Wenn das passiert hat der Angreifer mit dem Password Zugriff auf meinen ftp-Server, was ich natürlich nicht möchte.

Gibt es eine Möglichkeit das ganze sicherer zu machen oder bleibt mir nur die Möglichkeit einen eigenen Updater zu schreiben?

Danke wie immer für Tipps

Jan

Answer 1

Hallo Yawahoo,

das ist eine Frage des Protokolls. FTP an für sich ist unverschlüsselt und überträgt alles im Klartext.

Als erste alternative kannst du versuchen dich mittels FTPS (FTP over SSL) auf deinen FTP Server zu verbinden. Viele FTP Tools unterstützen dies bereits. Hier musst du noch beachten, dass du noch die Ports 989 und 990 jeweils tcp/udp freigeben musst.

Als zweite Alternative könntest du dich mittels FTP über einene VPN-Tunnel auf den FTP Server verbinden. Hier muss allerdings dein Router mitmachen (entweder direkter VPN Router oder der Router muss einen VPN-Passthrough können. Im 2. Fall läuft dann das VPN direkt auf deinem Server).

Ich hoffe ich konnte dir etwas weiterhelfen.

Viele Grüße
Holger M. Rößler

---

Kaum macht man es richtig, schon funktioniert es

Answer 2

Hallo Holger.

Ich verbinde mich ja gar nicht mit dem ftp. Das macht die Anwendung ja selber da ich über <Eigenschafter der Anwendung/Veröffentlichen/Updates> die Updatemöglichkeit eingeschaltet habe. Und da kann man nichts weiter einstellen. Weiterhin soll dieser ganze Vorgang den Anwender nicht damit belasten, dass er erst eine VPN Verbindung zu "mir" aufbauen muss.

Gruß
Jan

Answer 3

Hallo Jan,

es wäre doch viel einfacher, wenn das Update per HTTP durchgeführt wird. Dann braucht man auch keinen Benutzernamen und kein Passwort.

 

---

Gruß, Stefan
Microsoft MVP - Visual Developer ASP/ASP.NET
http://www.asp-solutions.de/ - Consulting, Development
http://www.aspnetzone.de/ - ASP.NET Zone, die ASP.NET Community

Answer 4

Hallo Jan,

es wäre doch viel einfacher, wenn das Update per HTTP durchgeführt wird. Dann braucht man auch keinen Benutzernamen und kein Passwort.

 

---

Gruß, Stefan
Microsoft MVP - Visual Developer ASP/ASP.NET
http://www.asp-solutions.de/ - Consulting, Development
http://www.aspnetzone.de/ - ASP.NET Zone, die ASP.NET Community

Leider habe ich bei meinem Host nicht die Möglichkeit FrontPage-Erweiterungen einzuschalten und so geht das nicht direkt über die Eigenschafter der Anwendung...

Gruß
Jan