由于FTP服务器经常被用作上传和下载文件的工具，其安全性具有不同的重要性。因为如果被非法攻击者攻破，不仅FTP服务器上的文件可能被破坏或窃取；更重要的是，如果他们下载病毒、木马，
它会给所有FTP用户带来潜在的威胁。因此，保护FTP服务器的安全迫在眉睫。
保护FTP服务器，要从其密码的安全性入手。笔者在这里谈一些常见FTP服务器的密码安全策略，帮助大家提高FTP服务器的安全性。
策略1:密码的持续时间
有时候FTP服务器不仅会被员工使用，还会临时给外部合作伙伴一个账号。比如作者在管理FTP服务器的时候，销售部门经常会发现有些文件比较大。
无法通过电子邮件发送，文件需要通过FTP服务器发送给客户。因此，当客户或供应商需要一些大文件时，作者必须给他们一个FTP服务器的临时帐户和密码。
笔者目前的做法是在FTP服务器上设置一个账号，但其密码当天有效，第二天自动失效。在这种情况下，当客户或供应商需要使用FTP服务器时，我只需要更改一些密码。不需要每次都使用它，
创建用户；用后删除。同时也可以避免临时账号没有及时注销给服务器带来的安全隐患，因为密码会自动过期。
大多数FTP服务器，比如微软操作系统自带的FTP服务器软件，都有密码到期管理的功能。一般来说，对于临时账号，我们可以结合账号和密码的期限管理来提高临时账号的安全性。对于内部用户，
也可以通过期限管理督促员工增加密码修改的频率。
策略2:密码必须符合复杂性规则。
目前很多银行为了用户账户的安全，都进行了一些密码复杂度认证。例如，不再接受888888形式的密码。从密码学角度来说，这种形式的密码非常危险。因为他们可以使用一些密码破解工具，
如密码电子词典等。可以很轻松的破解。
所以要提高密码本身的安全性，最简单的就是提高密码的复杂度。在FTP服务器中，可以通过密码复杂度规则强制用户采用一些安全级别更高的密码。具体来说，可以设置以下复杂性规则。
1.不能用纯数字或字符做密码。
如果黑客想破解一个FTP服务器的账号，所花费的时间与密码的构成直接相关。比如现在有一个八位密码，一个是纯数字组成，一个是数字和字符的组合。例如82372182和32dwl98s。
这两个密码看起来很像，但是和密码破解工具有很大区别。这种纯数字密码，可以通过一些先进的密码破解工具在24小时内破解。但是，对于后一种由字母和数字组合而成的密码，
需要2400小时或更长时间才能破解。比原来的至少难破解100倍。
可见字符和数字结合的密码是相当安全的。为此，我们可以在FTP服务器上进行设置，使其不接受纯数字或字符的密码设置。
2.密码不能与用户名相同。
其实我们都知道很多时候服务器被攻破是因为管理不当。相同的用户名和密码是FTP服务器最不安全的因素之一。
许多用户，包括网络管理员，喜欢将他们的密码和用户名设置为相同的，以便于记忆和管理。虽然用起来很方便，但显然是一个非常不安全的操作。根据密码攻击字典的设计思想，
它会先检查FTP服务器的账号密码是否为空；如果不是空的，它会尝试用相同用户名的密码破解。如果以上两个都失败了，那就试试其他可能的密码结构。
所以在黑客眼里，如果密码和用户名一样，就相当于没有设置密码。因此，在FTP服务器的密码安全策略中，也应执行禁止密码与密码一致的原则。
3、密码长度要求
虽然密码的安全性与密码的长度不成正比，但一般来说，长密码比短密码好。比如随机密码，7位数密码比5位数密码破解难度高几十倍，虽然密码长度只增加了两位数。所以，
在FTP服务器的密码策略中，作者强制用户的密码达到六位数。如果用户设置的密码少于六位数，服务器将拒绝用户的密码更改申请。
策略3:密码历史
为了提高FTP服务器的安全性，还需要为用户指定一个不重复密码的时间间隔。比如笔者所在企业的FTP服务器中有一个文件夹，专门用来存储客户的订单信息，方便相关人员出差时使用。
可以及时看到这个内容。这个文件夹里的信息是高度机密的。如果这些内容泄露，企业可能会失去大量订单，对企业造成致命的影响。
所以，笔者不敢小觑存储这种敏感信息的FTP服务器的安全性。为此，笔者启用了密码历史功能。根据这项政策，用户必须每隔一周更改一次FTP服务器的密码。同时，在60天内，
该密码不能重复使用。也就是说，密码历史功能启用后，FTP服务器会记录用户两个月内使用的密码。如果用户新设置的密码在两个月内被使用过，服务器将拒绝用户的密码更改申请。
可见密码历史功能在一定程度上可以提高FTP服务器的密码安全性。
策略4:账户锁定策略
理论上，再复杂的密码，也有可能被电子词典破解。为此，除了上述策略之外，我们还需要启用帐户锁定策略。这种策略可以有效避免犯罪分子的密码攻击。
账户锁定策略是指当用户超过指定的失败登录次数时，服务器会自动锁定账户，并向管理员发出警告。通过这种策略，当犯罪分子试图用不同的密码登录FTP服务器时，
因为它最多只能尝试三次(如果管理员未能将登录次数设置为最多3次)，所以该帐户将被锁定。这将使他们的密码攻击无效。
在采用账户锁定策略时，需要注意几个方面。
一种是手动或自动解禁。如果禁令是手动解除的，则锁定的帐户必须由管理员手动解除。如果设置为自动解禁，当账号锁定一定时间后，服务器会自动解锁账号。
如果对服务器的安全要求比较高，笔者建议还是手动解禁比较好。
第二是错误登录的次数。如果这个数字设置得太多，就起不到保护作用。如果设置过小，用户可能会因为粗心的密码输入错误而触发帐户锁定，从而给服务器管理员增加了大量的工作量。为此，作者的意见是，
一般你可以把这个数字设置为三到五次。这样既能保证安全需要，也给用户输入错误密码提供了一定的机会。
第三，当帐号被锁定时，应该能够自动向服务器管理员发出报警。因为作为FTP服务器，它分不清这是恶意攻击还是偶然事件。这需要服务器管理员根据经验来判断。
FTP服务器只能提供临时保护。因此，当帐户被锁定时，服务器应该能够提醒管理员判断是否存在恶意攻击。如果存在，我们需要采取相应的措施，避免这种情况再次发生。
