FTP или SFTP: шифрование канала и приём в современных клиентах

FTP появился в семидесятых и предназначен для передачи файлов между узлами. SFTP решает ту же задачу, но устроен иначе: это не «FTP с защитой», а отдельный протокол, работающий поверх SSH. Похожие названия сбивают с толку, поэтому их часто путают с FTPS, который является FTP внутри TLS.

В итоге в обиходе три варианта. Обычный FTP без шифрования, FTPS с шифрованием TLS и SFTP через SSH. В этой статье главное различие между первым и последним, а FTPS занимает промежуточное положение.

Отдельно стоит помнить о старой привычке называть любой обмен файлами «по FTP»: за этим словом нередко скрывается уже SFTP.

Обычный FTP передаёт всё открытым текстом, включая логин и пароль. Любой, кто может перехватить трафик в той же сети, увидит учётные данные и содержимое файлов. Сегодня использовать его для чего-либо, кроме публичных материалов в изолированных сетях, нежелательно.

SFTP шифрует и команды, и данные в одном соединении, проверяет подлинность сервера по ключу, а пользователя по паролю или ключу. Вход по ключу устойчивее к подбору, чем пароль. Однако безопасность зависит от настройки: слабые пароли, устаревшие алгоритмы и открытый доступ из интернета для всех остаются рисками.

FTP использует отдельное управляющее соединение и отдельные соединения для данных, в активном или пассивном режиме. Из-за этого он неудобен для межсетевых экранов и NAT: приходится открывать диапазон портов и настраивать поддержку на маршрутизаторе, иначе списки папок или передача файлов зависают.

SFTP использует одно соединение, обычно на порту 22, и всё проходит по нему. Это упрощает настройку правил и делает работу через NAT предсказуемой. Для администратора важно, что порт SSH часто принимает большое число попыток входа из интернета, поэтому стоит ограничить адреса, применять ключи и защиту от подбора.

Если вам нужен только просмотр файлов, а не автоматизация, современные файловые менеджеры позволяют смонтировать SFTP-ресурс как обычную папку.

FTP-серверы обычно используют собственные учётные записи или системные, права привязаны к каталогам. Анонимный вход возможен, но сегодня встречается редко. SFTP использует учётные записи операционной системы или ограниченные оболочки, а для изоляции пользователей применяют запирание в каталоге.

Возможности ключей в SFTP удобны для автоматизации: скрипты копируют файлы без паролей в тексте. Ключи нужно защищать и периодически менять, а неиспользуемые удалять. Для совместного доступа через SFTP настраивают отдельные учётные записи с минимально необходимыми правами, чтобы утечка одной записи не открывала всё.

Для загрузки файлов на веб-сервер выдайте отдельную учётную запись с доступом только к каталогу сайта, а не ко всей системе.

Большинство графических клиентов и файловых менеджеров поддерживают обе схемы. Браузеры постепенно отказались от FTP: современные версии либо не открывают такие адреса, либо ограничивают. Это ещё одна причина для перехода.

Если у вас старые устройства, например камеры или принтеры, которые загружают файлы, они часто умеют только FTP. В таком случае ограничьте использование отдельной сетью и учётной записью с правами только на загрузку в нужную папку. Для современных программ и скриптов SFTP реализован во многих библиотеках, и подключение обычно сводится к указанию адреса, порта и ключа.

Для любой передачи, содержащей неоткрытые данные, выбирайте SFTP или FTPS. SFTP проще настраивать за экраном, если на сервере уже есть SSH. FTPS может подойти, когда клиенты поддерживают только FTP-семейство и нужно шифрование. Простой FTP оставьте только для устаревших устройств в изолированном сегменте, для публичных данных без риска подмены.

При миграции проверьте, какие автоматические процессы используют FTP, и переведите их поэтапно, заранее выдав новые ключи или учётные данные.

Хорошая практика после перехода вести журнал подключений и проверять его на неожиданные обращения.