オープンソースのFTPクライアントとして「世界標準」との位置付けも耳にする「FileZilla」だが、実はこれまでにセキュリティ上の不安が噂された事があり、一部のWeb検索において「FileZilla マルウェア」等の有り難くないクエリーがサジェストされた事もあった。
しかしながら、これらの噂は真実とは言い難く、「FileZilla」の名誉と普及のためにも一つ一つ論破していこうと思う。
マルウェアが組み込まれていた？
捷時間2014年1月27日、セキュリティベンダーのAvastが「マルウェアが組み込まれた「FileZilla」のバイナリーが発見された」と発表した。これは、オープンソースとして公開されている本物の「FileZilla」からマルウェアが検出されたとの事だ。
ベースとなっているアプリケーションが本物の「FileZilla」なだけに見分けが付きにくかったとの事だが、自動アップデートによってマルウェアが本物の「FileZilla」の更新版にリプレイスされる事を防ぐために、敢えて自動更新の機能が無効化されていたという。尚、確認されたバージョンは「FileZilla 3.5.3」「FileZilla 3.7.3」の二種。
「FileZilla」はGPLに準拠したオープンソースのソフトウェアであるために、このような悪意を持った工作が行われてしまった訳だが、このマルウェア付きの「FileZilla」は開発元とは無関係なホスティングサイトにて配布されていた。「公式サイト以外からソフトウェアをダウンロードしてインストールするのは避けるべし」と至極当然のセキュリティ意識を肝に銘じていれば、このような被害を受ける事はないだろう。
少し話は逸れるが、つまりは、
「あなたは「Google Chrome」や「Firefox」のインストーラーパッケージを海外の怪しいサイトからダウンロードしてインストールしますか？」
そういう事だ。よくあるソフトウェアのアーカイブサイト等も安全性の保証は何処にもないので、ブックマーク等は避けた方が良いだろう。
マスターパスワードが実装されていない？
2007年以来、サポートフォーラム等を通じて多くのユーザーから待望されていたパスワードの暗号化機能（マスターパスワード）だが、こちらは2017年6月1日にリリースされた「FileZilla 3.26.0」において正式に実装された。それまでは、ユーザーサイドの要望に対して開発者サイドが「ホームフォルダーそのものを暗号化すれば良いだろうと」と開き直り（？）、当該のスレッドが炎上していたが、ユーザーの要望に開発サイドが応えて実装された形だ。
尚、余談ではあるが「ホームフォルダーそのものを暗号化すれば良い」というのは、Googleが「Google Chrome」にマスターパスワード機能を実装しない理由と合致する。そもそも、自分のホームフォルダーにアクセス可能な状態のコンピューターの前に赤の他人が座っている時点で終わっている（詰んでいる）という事だ。そうならないように、離席時には強力なパスワードでコンピューターをロックする、という至極当然のセキュリティ意識を持つべきであろう。
Googleはこの件に関して、「保存されたパスワードに対する唯一にして強力なパーミッションの境界はOSのユーザーアカウントであり、「Google Chrome」ではロックされたアカウント上のパスワードを安全に保つために、そのシステムが提供している暗号化ストレージを使用している」と述べている。まさに正論であろう。
インストール時にセキュリティソフトに検知される？
最後に挙げた上記の見出しのリスクだが、これは前述の2件とは少々事情が異なっており、FileZillaサイドのプロモーションに起因する部分がある。FileZilla Projectは収益確保のために、インストーラーに別のサードパーティー製のソフトウェアを添付しているバンドルパッケージを提供しているが、これがセキュリティソフトにアドウェアとして検知されるケースがあるようだ。
やっている事自体はトロイの木馬と批判されても仕方のない事ではあるが、バンドルされているソフトウェア自体にはセキュリティのリスクはなく、「FileZilla」の安全性に疑問を投げ掛けるような事象ではないであろう。
尚、サードパーティー製のソフトウェアがバンドルされているスポンサードなインストーラーパッケージは、拡張子に「.sponsored」を含んでいるので容易に判別する事ができる。
また、公式サイト（プロジェクトサイト）における「Show additional download options」からインストーラーをダウンロードすれば、プレーンな（安全な）インストーラーパッケージを入手する事ができる。一度ダウンロードしてインストールすれば、ソフトウェアのアップデート時には、ビルトインのソフトウェアアップデーターからアップデートをダウンロードする事ができる（スポンサードなインストーラーパッケージを目にする事は無くなる筈だ）。