Co to jest SFTP i czym różni się od FTP i FTPS?

Bezpieczny transfer plików to kluczowy element nowoczesnej infrastruktury IT. Wybór protokołu bezpośrednio wpływa na ochronę danych wrażliwych przed nieautoryzowanym dostępem i podsłuchem.

Treść (pokaż)

SFTP (SSH File Transfer Protocol), FTP (File Transfer Protocol) i FTPS (FTP Secure) to trzy popularne protokoły przesyłania plików, które różnią się poziomem bezpieczeństwa, wydajnością i sposobem komunikacji sieciowej. Tradycyjny FTP działa bez szyfrowania, natomiast FTPS i SFTP szyfrują transmisję – robią to jednak w odmienny sposób.

Protokół FTP – fundament i zagrożenia bezpieczeństwa

FTP (File Transfer Protocol) to jeden z najstarszych protokołów internetowych, zdefiniowany w RFC 959 (1985). Działa na porcie 21 i umożliwia niezawodny transfer plików w architekturze klient–serwer.

FTP używa dwóch kanałów komunikacji. Kanał kontrolny (port 21) służy do poleceń i odpowiedzi, a kanał danych (port 20 w trybie aktywnym lub losowy port w trybie pasywnym) do przesyłu plików.

Największą wadą FTP jest całkowity brak szyfrowania – loginy, hasła i dane są przesyłane jawnym tekstem, co pozwala na ich przechwycenie (np. w Wireshark). Z tego powodu FTP nie nadaje się do przesyłania informacji wrażliwych.

FTP obsługuje dwa tryby pracy. W trybie aktywnym serwer inicjuje połączenie danych z klientem z portu 20; w trybie pasywnym to klient łączy się z portem, który otwiera serwer. Oba tryby bywają kłopotliwe dla zapór sieciowych i środowisk z NAT.

Rozwój bezpiecznych alternatyw – FTPS i SFTP

Wraz ze wzrostem świadomości zagrożeń powstały dwie bezpieczne alternatywy dla FTP: FTPS i SFTP. Choć oba szyfrują transmisję, różnią się architekturą i mechanizmami ochrony.

FTPS – rozszerzenie FTP z szyfrowaniem SSL/TLS

FTPS (FTP Secure) rozszerza FTP o szyfrowanie SSL/TLS. Rozszerzenia bezpieczeństwa wprowadziło RFC 2228 (1997), umożliwiając uwierzytelnianie i szyfrowanie kanału kontrolnego oraz danych.

Istnieją dwie odmiany FTPS. Implicit FTPS używa portu 990 i wymusza szyfrowanie od początku sesji. Explicit FTPS (FTPES) startuje jak klasyczny FTP na porcie 21, a szyfrowanie TLS/SSL jest włączane komendą AUTH TLS/SSL.

FTPS wykorzystuje certyfikaty SSL/TLS do uwierzytelniania serwera (opcjonalnie klienta) i szyfrowania. Wymaga poprawnej weryfikacji łańcucha zaufania (CA lub zaufany certyfikat samopodpisany).

FTPS zachowuje dwukanałową architekturę FTP. Wymaga portów dla sterowania (21 lub 990) i danych (20 lub zakres portów pasywnych; w implicit standardowo 989), co komplikuje konfigurację firewalli i NAT.

SFTP – bezpieczna alternatywa oparta na SSH

SFTP to osobny protokół, działający jako podsystem SSH – nie jest „FTP przez SSH”. Zapewnia pełne szyfrowanie sesji i kontroli dostępu.

SSH (Secure Shell) powstał w 1995 r. i zastąpił niezabezpieczone protokoły (rlogin, Telnet, FTP, rsh). Od 2006 r. SSH-2 jest standardem IETF (RFC 4251), oferując nowoczesne mechanizmy ochrony przed znanymi podatnościami wcześniejszych wersji.

SFTP korzysta z portu 22 (SSH) i jednego szyfrowanego kanału dla poleceń i danych. Pełne szyfrowanie logowania i transferu upraszcza konfigurację sieci, minimalizuje błędy i eliminuje problemy z wieloma portami.

Porównanie kompleksowe – FTP vs FTPS vs SFTP

Aby świadomie wybrać protokół, warto zestawić ich poziom bezpieczeństwa, mechanizmy uwierzytelniania i wymagania sieciowe.

Szyfrowanie i bezpieczeństwo danych

FTP przesyła wszystko jawnym tekstem – w tym loginy i hasła – i nie zapewnia poufności ani integralności.

FTPS szyfruje komunikację SSL/TLS (asymetryczne uzgadnianie + szyfrowanie symetryczne danych), a w trybie explicit pozwala precyzyjnie sterować ochroną kanałów (np. PROT P).

SFTP szyfruje całą sesję przez SSH, używając m.in. wymiany kluczy Diffie–Hellmana oraz szyfrów AES; integralność chronią kody MAC (np. z SHA‑2).

Uwierzytelnianie i kontrola dostępu

FTP opiera się na hasłach przesyłanych jawnie, co stanowi krytyczną lukę.

FTPS wykorzystuje PKI – certyfikaty SSL/TLS do uwierzytelniania serwera (i opcjonalnie klienta), ale wymaga zarządzania certyfikatami i poprawnej weryfikacji łańcucha zaufania.

SFTP oferuje logowanie kluczem publicznym (SSH) oraz hasłem, przy czym klucze znacząco podnoszą bezpieczeństwo i wygodę. Jedna para kluczy może zastąpić wiele haseł.

Konfiguracja sieci i porty

Różnice w wymaganiach sieciowych są kluczowe przy wdrożeniach, zwłaszcza za zaporami i NAT:

FTP – port 21 do sterowania i dynamiczne porty danych, co komplikuje konfigurację firewalli;
FTPS – port 21 (explicit) lub 990/989 (implicit) plus zakres portów danych, co wymaga dodatkowych wyjątków i inspekcji TLS;
SFTP – pojedynczy port 22, najprostsza konfiguracja oraz najmniej podatna na błędy i problemy NAT.

Architektura protokołu

FTPS dziedziczy dwukanałową architekturę FTP (polecenia + dane), a każdy transfer/listowanie używa osobnego połączenia danych.

SFTP wykorzystuje jedno szyfrowane połączenie SSH z wieloma logicznymi kanałami, co upraszcza administrację i zwiększa niezawodność.

Mechanizmy bezpieczeństwa i kryptografia

Oba bezpieczne protokoły stosują nowoczesną kryptografię, ale w różnych warstwach.

Szyfrowanie i algorytmy

FTPS używa TLS (następcy SSL), z rekomendacją TLS 1.2/1.3 dla wydajniejszego i bezpieczniejszego uzgadniania. Wymiana kluczy (m.in. ECDHE) zapewnia poufność przekazu.

SFTP (SSH) również stosuje Diffie–Hellmana do wymiany kluczy, a dane szyfruje symetrycznie (np. AES‑256, ChaCha20).

Weryfikacja integralności

SSH i TLS korzystają z MAC (np. HMAC z SHA‑2), aby wykryć modyfikacje danych w trakcie transmisji. Dodatkowo można porównać sumy kontrolne plików po transferze.

Ochrona przed atakami man-in-the-middle

SFTP minimalizuje ryzyko MITM dzięki weryfikacji tożsamości serwera (klucze hosta, znane hosty) przed przekazaniem wrażliwych danych.

FTPS chroni przed MITM przez walidację certyfikatów TLS, o ile łańcuch zaufania jest prawidłowo skonfigurowany i weryfikowany po stronie klienta.

Wydajność i praktyczne zastosowania

Różnice wydajności zależą od charakterystyki sieci, klientów i profilu transferu.

Prędkość transferu

FTPS bywa szybszy dla dużych, pojedynczych plików (np. około 7–9 MB/s), z mniejszym narzutem na pakiety.

SFTP bywa korzystniejszy przy wielu małych plikach (np. 6–8 MB/s), unikając kosztów dodatkowych połączeń danych i negocjacji.

Wybór klienta ma znaczenie – np. curl, lftp czy sftp potrafią znacząco zmieniać realną przepustowość dla tego samego protokołu.

Kompatybilność i szeroka dostępność

FTPS jest często łatwy w migracji z FTP dzięki kompatybilności klientów i serwerów.

SFTP jest szeroko wspierany w nowoczesnych systemach (Linux, macOS, Windows 10+), wymaga klienta SSH/SFTP.

Popularne klienty i narzędzia

Najpopularniejsze narzędzia do pracy z FTP/FTPS/SFTP to m.in.:

WinSCP – zaawansowany klient dla Windows z obsługą SFTP/FTP/FTPS, synchronizacją katalogów i wbudowanym edytorem;
FileZilla – wieloplatformowy klient FTP/FTPS/SFTP z intuicyjnym interfejsem;
Cyberduck – prosty w obsłudze klient dla macOS i Windows, obsługa FTPS i SFTP;
Narzędzia CLI – wbudowane polecenia sftp, scp, a także lftp do automatyzacji i skryptów.

Wdrażanie i najlepsze praktyki bezpieczeństwa

Konfiguracja i wdrażanie SFTP

Jeśli masz SSH, masz też SFTP – to podsystem SSH, więc zwykle nie wymaga dodatkowej instalacji serwera. Wystarczy aktywny demon SSH i właściwa konfiguracja.

Podstawowa ścieżka uruchomienia SFTP wygląda następująco:

zainstaluj i uruchom klienta SFTP lub użyj wiersza poleceń (np. sftp);
połącz się z serwerem, podając adres, użytkownika i metodę uwierzytelnienia (hasło lub klucz SSH);
przesyłaj, pobieraj, zmieniaj nazwy i usuwaj pliki jak w menedżerze plików.

Uwierzytelnianie za pomocą kluczy SSH

Rekomendowane jest logowanie kluczem zamiast hasła – znacząco podnosi bezpieczeństwo. Poniżej minimalne kroki:

wygeneruj parę kluczy (np. Ed25519) i ustaw hasło na klucz prywatny;
skopiuj klucz publiczny na serwer do ~/.ssh/authorized_keys;
ustaw poprawne uprawnienia do pliku i katalogu .ssh;
zweryfikuj logowanie bez hasła i zabezpiecz klucz prywatny kopią zapasową.

Przykładowe polecenia:

ssh-keygen -t ed25519 -C "[email protected]"

ssh-copy-id user@host

chmod 700 ~/.ssh && chmod 600 ~/.ssh/authorized_keys

Ograniczenie dostępu SFTP

Dla większej kontroli możesz odseparować użytkowników w katalogach (chroot) i wymusić użycie SFTP bez powłoki. Kluczowe dyrektywy w /etc/ssh/sshd_config to: ChrootDirectory, Match Group i ForceCommand internal-sftp. Po zmianach zrestartuj usługę SSH.

Najlepsze praktyki bezpieczeństwa

Poniższe praktyki podnoszą poziom ochrony i stabilności usługi:

używanie silnego szyfrowania – dla SFTP stosuj nowoczesne algorytmy (np. AES‑256 i SHA‑2), a dla FTPS wymuś TLS 1.2/1.3;
monitorowanie i audyt – regularnie analizuj logi, wdrażaj alerty i przeglądy bezpieczeństwa;
uwierzytelnianie wieloskładnikowe – włącz MFA wszędzie, gdzie to możliwe, zwłaszcza dla kont uprzywilejowanych;
regularne aktualizacje – aktualizuj serwer SSH/FTPS, biblioteki i system, aby łatać znane luki;
zmiana portów – niestandardowy port SSH może ograniczyć skanowanie botów, ale nie zastępuje realnych zabezpieczeń.

Porównanie tabelaryczne

Poniższa tabela zbiorczo przedstawia kluczowe różnice:

Cecha	FTP	FTPS	SFTP
Szyfrowanie	Brak	SSL/TLS	SSH
Porty	21, 20	21 (explicit), 990/989 (implicit) + zakres danych	22
Szyfrowanie danych	Nie	Tak	Tak
Szyfrowanie logowania	Nie	Tak	Tak
Uwierzytelnianie	Hasło	Certyfikat/hasło	Klucz SSH/hasło
Liczba połączeń	2 (polecenia + dane)	2 (polecenia + dane)	1 (zintegrowane)
Bezpieczeństwo	Niskie	Wysokie	Bardzo wysokie
Konfiguracja zapory	Złożona	Złożona	Prosta
Wydajność (duże pliki)	Szybko	Bardzo szybko	Szybko
Wydajność (małe pliki)	Szybko	Wolniej	Szybko
Kompatybilność	Szeroka	Szeroka	Szeroka (nowoczesne systemy)

Wnioski i rekomendacje

Tradycyjny FTP jest niebezpieczny i nie powinien być używany do danych poufnych. Organizacje powinny jak najszybciej migrować na bezpieczne alternatywy.

Zarówno FTPS, jak i SFTP zapewniają silne szyfrowanie transmisji. Wybór zależy od wymagań środowiska i ograniczeń operacyjnych.

SFTP jest zwykle najlepszym wyborem: pełne szyfrowanie, jeden port, mniej problemów z firewallami i szerokie wsparcie w nowoczesnych systemach.

FTPS sprawdzi się, gdy kluczowa jest kompatybilność z istniejącą infrastrukturą FTP i zarządzanie certyfikatami TLS. Trzeba jednak liczyć się z większą złożonością konfiguracji.

Niezależnie od wyboru, stosuj klucze SSH lub certyfikaty zamiast samych haseł, aktualizuj oprogramowanie, monitoruj logi i włącz MFA, gdzie to możliwe.