[セキュリティ編]運用管理にtelnetを使ってはいけない ＠ ITpro
これは、厳密に言えばタイトルの表現になるのではないでしょうか。
使ってはいけないのは、telnetだけではありません。
リモートログインという行為が必要な場合、telnet以外にも（ずっと認知度は低いですが）rloginなんてコマンドも存在します。
どちらにしろ、通信は暗号化しないので入力したパスワードや実行コマンド、サーバー上での結果などが平分でネットワーク上を流れる事になります。
暗号化されていないデータがネットワーク上に流れた場合、それを盗聴する事は簡単に出来ます。
元々はそういった悪意のあるツールとして作られたわけでなくとも、ネットワーク運用管理上でそういったツールが必要になり利用している場合もあるので、その非暗号化のデータは取れる人には取れてしまいます。
これらを回避する為に、sshやsloginなどの通信を暗号化してくれるコマンドが存在し、運用管理の現場においては、その使用が強く推奨されているわけです。
また、リモートログインだけを問題視するのではなく、サーバー上のデータを転送する際によく使うFTPも通信は暗号化されていないため、同様の危険性があります。
telnetのようにサーバー上にログインして何か操作するというわけではありませんが、サーバー上に保管されているデータを抜き取られる可能性があるという点では危険性は同等です。
ただ、あまりFTPが危険という記事を見かけたことがありません。
その他にも、メールを盗聴する事も可能です。
メール自体のデータも多くは暗号化されていません。
APOPのプロトコルを使うと、受信サーバー（POP）とクライアントのメーラー間でやり取りされるパスワード情報は暗号化されますが、メール本文は暗号化されません。
POP over SSLのプロトコルを使うと、受信サーバーとクライアントのメーラー間でのやり取りは全て暗号化されますが、これはあくまでクライアントと受信サーバー間でのメールの受信経路が暗号化されているというだけの話にであり、そのメールが受信サーバーに届くまでの経路は暗号化を保障するものではありません。
この経路が平分で流れているなら、受信するまでに既に盗聴されている可能性があります。
少し話がそれましたが、運用管理上で重要なのは使用しているツールやコマンドがどういった通信を行うのか、プロトコルを使用しているのかをきちんと把握しておき、その上でのリスクを意識しておく事です。
また、先ほどのメールの話と同じように何処から何処までが暗号化された通信なのか、その先にある危険性というのも意識しておく必要があります。
SSHでサーバーにログインしたからといって、その先からtelnetを使ったのでは全く意味がありません。
運用管理者は、何処にリスクがあるのかをきちんと理解した上で管理を行わなくてはなりません。
関連記事
セキュリティ診断ツール「Nikto」を使ってサイトをチェックしよう
超制限付きユーザーの作り方
Logwatchでサーバー上のログを集約する
ミドルウェアは安易にバージョンアップしてはいけないの？