与服务器端的SFTP相比，FTPS（FTP + S）是否提供更好的安全性？

#1 楼

从理论上讲，它们提供的安全性与FTPS和SFTP相似。
在实践中，您具有以下优点和缺点：


使用FTPS的客户端应用程序通常无法正确验证证书，实际上意味着中间的人是可能的。使用SFTP时，用户只需跳过有关主机密钥的信息并接受任何内容，因此结果是相同的。
但是具有更多知识的用户和管理员可以正确使用SSH密钥，并将其也用于身份验证，从而使SFTP与使用密码相比，使用起来容易得多。而且，如果完全禁止使用密码，那么这也将更加安全，因为不再可能发生暴力密码攻击。
FTP使用动态端口进行数据连接，并且有关这些端口的信息会通过带内传输。当涉及防火墙，NAT或类似设备时，这使本已普通的FTP（无TLS）成为噩梦。使用FTPS（FTP + TLS），情况变得更糟，因为由于控制连接的加密，防火墙上的辅助应用程序无法再找出需要打开哪些端口。这意味着要通过FTPS，您需要打开各种各样的端口，这对安全性（*）不利。 SFTP更好，因为它仅使用单个连接进行控制和数据。
FTP（S）服务器通常提供匿名访问，而SFTP服务器通常不提供匿名访问。几个FTP服务器还提供伪用户，即从同一数据库或类似数据库获取的用户，而不是系统上的真实用户。如果只有适当的用户，则没关系。
SFTP使用SSH协议，并且您必须正确配置系统以仅允许SFTP访问，而不允许SSH（终端）访问甚至是SSH转发。使用FTP会更容易，因为FTP仍然只能进行文件传输。

（*）一些评论并不真正相信打开大量端口对安全性有害。因此，让我更详细地解释一下：


FTP使用单独的TCP连接进行数据传输。用于这些连接的端口是动态的，有关这些端口的信息在控制连接内部交换。不知道当前正在使用哪个端口的防火墙只能允许较大的端口范围，有时可能会使用FTP。
这些端口需要允许从外部到内部的访问，因为在FTP被动模式下，客户端连接到服务器上有一些动态端口（即与服务器端防火墙有关），而对于FTP活动模式，服务器连接到客户端上有一些动态端口（与客户端防火墙有关）。
有许多开放的端口不受限制从外部到内部的访问并不是人们通常认为用来保护内部的限制性防火墙。这更类似于门上有一个大洞，窃贼可能会进入房屋。
要变通解决此问题，大多数防火墙都为FTP使用“辅助程序”，该辅助程序会查看FTP控制连接，以找出下一个数据连接需要打开哪些端口。一个示例是iptables的ip_conntrack_ftp。不幸的是，使用FTPS时，控制连接（通常）是加密的，因此这些助手是盲目的，无法动态打开所需的端口。这意味着FTP无法正常工作，或者需要始终打开大量端口。

#2 楼

系统管理员提出了一个有效的观点。
（但是他的人际交往能力可能需要工作）

SSH是一个复杂的协议，openssh实现了很多功能。
所有这些功能都提供了攻击媒介，很难确保没有任何媒介可以利用。

即使openssh没有错误（不是），也要知道所有正确的关闭方法不需要的功能，并了解这些选项之间如何相互作用，这本身就需要付出很大的努力。
这些相互作用可能会因版本而异。旨在将某些用户限制为仅SFTP（我们甚至考虑过将其锁定到其主目录）：

Match Group sftponly
    ChrootDirectory %h
    ForceCommand internal-sftp

并且足够肯定：

% ssh somehost
This service allows sftp connections only.
Connection to somehost closed.

但是等等...
at意味着我们可以连接到sshd_config上的端口80，就像我们来自本地主机一样。
端口80可能没什么大不了，但是只监听本地主机的服务（例如管理服务或数据库）呢？

那只是TCP转发。
至少，SSH还允许X11转发和SSH代理转发，我什至不知道这两者的含义。

我们确实经常使用ssh / sftp，因为就我们的情况而言，优点胜过了这些风险。
但是，有一个令人担忧的现实问题，不应太轻描淡写。
我们最终将其用于仅sftp就足够的使用案例：

ssh -N -L 9000:localhost:80 somehost

我们希望这足以确保仅sftp访问，但我们不能完全确定。欢迎提出建议；）

#3 楼

两种协议都有优点和缺点，正如在本比较文章中很好地解释的那样。

这是说，由于问题专门针对安全性，因此在选择哪种协议时应考虑一些注意事项在某些特定条件下最好。

FTPS和FTPES使用SSL或TLS来加密控制/数据连接。这些安全通道的主要优点是它们使用X.509证书，其中包含的信息比简单密钥对（主机名，电子邮件地址，组织名称，ISSUER（CA）等）要多得多，因此它们是更容易验证。但是：



SSL 1.0，SSL 2.0：很久以前不推荐使用（不安全）

SSL 3.0：由于POODLE而最近不推荐使用

TLS 1.0：不再符合PCI合规性要求

TLS 1.1：缺少TLS 1.2的某些扩展，并且客户端支持有限，没有理由使用它
< TLS 1.2：目前的标准，到目前为止，被认为是安全/安全的。以上内容仅涵盖了通道加密协议，因此对于FTP协议本身存在安全方面的考虑。例如，已经反复使用SITE命令进行攻击，并且协议本身的固有设计要求打开防火墙上的多个端口并对其进行NAT（这可能成为管理噩梦）。此外，除非客户端请求并且服务器允许CCC（清除控制通道），否则大多数防火墙都无法正确地进行FTP数据连接的NAT，这会通过运行未加密的控制连接破坏安全性。

另一方面，我们有SFTP，它是SSH的子系统。这里的主要挑战是SSH密钥是“公正的密钥”，它们不是由CA颁发的，也不包含颁发者声明或密钥链，因此SSH服务器密钥必须由客户端明确表示信任。 >
可能有人认为将SSH服务器配置为仅允许SFTP（没有外壳，没有命令，没有转发隧道，没有X11）可能很困难。这实际上取决于：如果您正在运行Linux和OpenSSH，那也许是正确的，但是那里有大量的SSH / SFTP服务器使这种配置变得轻而易举，所以我不必将其列为潜在的缺陷，除非-就像我说的那样-使用Linux / OpenSSH。

SFTP的几个显着优势包括：



ECDSA密钥交换：521位ECDS（X）密钥在安全性方面等效于15360位RSA密钥，并且需要9倍以下的CPU周期来进行签名计算

固有的前向保密性：SSH协议可以与会话中的实际通道加密密钥进行重新协商，并提供固有的前向保密性，这与启用了SSL / TLS的服务器相反，后者需要额外的配置工作才能完成此操作

，因此最终选择实际上是取决于你们，但是sysadmin所做的论点公然无效，并且是否存在配置正确的现有SFTP服务器（例如xplained），则没有理由（尤其是与安全性无关的理由）切换到FTPS（或FTPES）。

#4 楼

许多人提出了关于两种协议之间差异的有效观点。但是我认为出于您的目的，问题实际上是“ SFTP是否足够安全？”而不是“哪一个更安全”？如您所说，除了安全性之外，您还有其他问题。

这原来是一个很难解决的问题。 SSH已被广泛使用和广泛研究。没有已知的协议设计缺陷。但是，安全漏洞通常与协议无关，而与实现无关。毕竟，SMTP本身并不是“不安全”的，并且设计相对简单，但是16年前，Commendon SendMail应用程序是实施软件安全性较差的典型代表之一，并且在其中存在很多漏洞。

关键是，即使协议经过精心设计和简单，实现也可能是复杂性，附加功能和安全噩梦的巢穴。

所以我认为这更多是关于选择一个好的实现而不是一个好的协议。两种协议都不错，而且两种实现都可能执行不佳。

我对FTPS并不完全熟悉，所以我不知道它是否有任何受人尊敬的实现。但是，对于SSH，OpenSSH通常被认为是高质量的，并且从一开始就考虑到安全性（特权分离等）。

#5 楼

像您一样，我认为两者与我在网上寻找差异时几乎都一样。

但是，在现实生活中，这是另一回事了。以下是我的经验：


对于我的NAS，我开启了FTPS功能3个月了。防火墙设置还可以。我只需要打开FTP端口和FTPS传输使用的其他端口。到目前为止，还算不错，没什么大不了的。
三个月后，我想，也许我也启用了SFTP协议，因为它更常见并且更易于管理。然后发生了一些有趣的事情。打开SFTP端口10分钟后，我的NAS遭受了一些蛮力攻击。尝试输入密码失败10次后，NAS会自动阻止攻击IP，并通过电子邮件通知我。想象一下，如果攻击者控制了数千台具有不同IP的计算机，那么我的NAS将无法将其全部阻止。另外，如果我们公司的员工决定设置非常简单的密码，那么使用暴力攻击的人最终可能会进入我们的系统。

现在我禁用了SFTP，攻击就停止了我很高兴没有人尝试进入我们的文件服务器。

#6 楼

不，SSH和SSL通常使用相同的密码强度。例如：RSA和AES，但SSH可以使用DSA。但是ssh使用端口22，而FTP使用FTP和FTP数据使用端口21和22。在我看来，更好的可配置性是，您必须打开2个端口，这不仅考虑防火墙是不切实际的，而且还存在潜在的安全风险，因为您必须打开2个端口。

#7 楼

无论哪种方式，您的答案都是直截了当的。服务器端工具由提供文件的人控制，并且如果知道所有安全功能，从理论上讲是安全的。

用户端方法与用户相同。在这些日子里，我们不怀疑两者之间的关系。每个人都必须确保自己有足够的能力保护自己。因此，用户转向了防火墙选项。

您为用户选择的任何选项都可以通过这种方式轻易推翻。因此，我们不必担心用户（收件人）。这种说法现在在这个问题上已经过时了。这意味着服务器端。您要控制发布的信息。它发布后，有多少关注不再是审慎的。超出那一点根本不是您的责任。结果只会影响到您。如果尚无相关数据，则没有任何后果。

一个真正可控的解决方案是使用完全由您自己设计的具有加密功能的FTP源。不要依赖任何第三方。但这也已过时，因为很难从头到尾构建自己的库。

基于您提供的术语不足，您需要一个简单的ssh ftp。为此，您可以建议防火墙规则和iptables配置（如果在Linux中）。无论走哪种方式，似乎都被所见即所得所困扰。