SFTP ve SCP: Güvenli Dosya Aktarımı

Adına rağmen SFTP'nin (SSH Dosya Aktarım Protokolü) FTP ile hiçbir ilgisi yoktur. SFTP, bir SSH-2 alt sistemi olarak çalışmak üzere tasarlanmış ikili bir protokoldür; yani mevcut, kimlik doğrulaması yapılmış ve şifrelenmiş bir SSH bağlantısı üzerinden çalışır. SSH istemcisi, sunucudaki SFTP alt sistemini ssh user@host -s sftp komutuyla çağırır. Tüm SFTP işlemleri, temel SSH taşıma katmanının güvenlik güvencelerini devralır.

SFTP, şifrelenmiş kanal üzerinden zengin bir dosya işlemleri kümesi sağlar: dizin içeriklerini listeleme, dosya yükleme, dosya indirme, dosya silme ve yeniden adlandırma, dizin oluşturma ve kaldırma, dosya izinlerini ve zaman damgalarını okuma ve ayarlama ve yarıda kalan aktarımları sürdürme. Bu yetenekler, SFTP'yi yalnızca bir dosya aktarım aracı değil, tam kapsamlı bir uzak dosya sistemi arayüzü haline getirir.

SCP (Güvenli Kopyalama Protokolü), dosyaları SSH üzerinden aktarmak için kullanılan daha eski ve daha basit bir protokoldür. scp file.txt user@host:/path komutu bir dosyayı güvenli biçimde kopyalar. SCP, tek seferlik aktarımlar için SFTP'den daha basit kullanılır; ancak işlemlerin yalnızca bir alt kümesini destekler: yerelden uzağa, uzaktan yerele veya uzaktan uzağa kopyalama. Etkileşimli modu yoktur ve yarıda kalan aktarımları sürdürme desteği sınırlıdır.

Özgün SCP protokolünün önemli bir güvenlik açığı vardı: kötü amaçlı bir sunucu, istemcinin ne istediğine bakmaksızın istemciye keyfi dosyalar gönderebilirdi. Sunucuyu denetleyen bir saldırgan, hedeflenen hedef dizinin dışındaki dosyaların üzerine yazabilirdi. OpenSSH, OpenSSH 9.0'da (2022) eski SCP protokolünü kullanımdan kaldırarak SFTP tabanlı scp'yi tercih etti. Modern scp komutları arka planda SFTP kullanır; böylece tanıdık komut söz dizimi korunurken bu saldırı türü ortadan kaldırılır.

Üç güvenli dosya aktarımı seçeneği sıklıkla birbirine karıştırılır. FTP (21 numaralı bağlantı noktası) şifrelenmemiştir ve kullanılmamalıdır. FTPS (SSL üzerinden FTP), 990 numaralı bağlantı noktasında örtük olarak veya AUTH TLS ile 21 numaralı bağlantı noktasında açıkça FTP'ye TLS ekler; bunun için FTP altyapısının yanı sıra sertifika yönetimi gerekir. SFTP, SSH (22 numaralı bağlantı noktası) üzerinden çalışan, mevcut SSH kimlik doğrulamasını ve anahtar yönetimini yeniden kullanan tamamen ayrı bir protokoldür. SFTP'nin yapılandırılması ve bakımı genellikle FTPS'den daha kolaydır.

rsync, dosyaların yalnızca değişen kısımlarını aktaran bir dosya eşzamanlama aracıdır; bu nedenle artımlı yedeklemelerde SCP'den çok daha verimlidir. rsync'i -e ssh bayrağıyla çalıştırmak, tüm verileri bir SSH tünelinden yönlendirir. rsync -avz -e ssh user@host:/remote/ /local/ komutu, yalnızca farkları aktararak uzak dizini yerel dizinle eşzamanlar. SSH üzerinden rsync, sunucu yedeklemeleri ve dağıtım iş akışları için standart yaklaşımdır.

SFTP, aktarımın devam ettirilmesini destekler: büyük bir yükleme sırasında bağlantı kesilirse aktarım, sıfırdan yeniden başlatılmak yerine son onaylanan bayttan sürdürülebilir. OpenSSH'nin sftp istemcisi, yüklemeleri sürdürmek için reput komutunu, indirmeleri sürdürmek içinse reget komutunu destekler. Çok büyük aktarımlar için (çok gigabaytlık dosyalar) lftp gibi araçlar, otomatik yeniden deneme ve bant genişliği sınırlamasıyla daha sağlam aktarım yönetimi sağlar.

OpenSSH sunucusu, bir chroot hapishanesi kullanarak SFTP kullanıcılarını belirli bir dizin ağacıyla sınırlandırabilir. SSH yapılandırmasına Match User yönergesiyle birlikte ChrootDirectory ve ForceCommand internal-sftp eklemek, yalıtılmış bir SFTP ortamı oluşturur. Kullanıcı, kendisine ayrılan dizin içinde dosya yükleyip indirebilir; ancak dosya sisteminin geri kalanına erişemez veya kabuk komutları çalıştıramaz. Bu yöntem, web barındırma dosya yönetimi ve istemci yükleme portalları için yaygın olarak kullanılır.

OpenSSH sunucusunda SFTP'yi etkinleştirmek için sshd_config dosyasına Subsystem sftp /usr/lib/openssh/sftp-server eklenmelidir. sftp-server ikili dosyası, tüm SFTP protokolü işlemlerini gerçekleştirir. Chroot yapılandırmalarında ChrootDirectory, root kullanıcısına ait olmalı ve başka hiçbir kullanıcı tarafından yazılabilir olmamalıdır; bu, yapılandırma hatalarının yaygın bir kaynağıdır. Yapılandırmayı sshd -t ile test etmek, hizmet yeniden yüklenmeden önce söz dizimini denetler.

SFTP, otomatik yedekleme işlem hatlarıyla iyi bir şekilde bütünleşir. Bir yedekleme sunucusu, parola kullanmadan bağlanmak için açık anahtar kimlik doğrulamasından yararlanır ve böylece insan müdahalesi olmadan cron zamanlamalı aktarımları mümkün kılar. Yedekleme kullanıcısı, chroot kullanılarak yükleme diziniyle sınırlandırılır; bu da yedekleme sunucusu ele geçirilirse oluşabilecek zararı sınırlar. SFTP bağlantı başarısızlıkları ve aktarım hataları için günlüklerin izlenmesi, yedekleme sorunları kurtarma olanağını etkilemeden önce erken uyarı sağlar.

Komut satırı SFTP istemcisinin yanı sıra FileZilla, Cyberduck ve WinSCP gibi grafik araçlar; sürükleyip bırakma arayüzlerini, yer imi yönetimini ve yan yana dizin görünümlerini destekler. Bu araçlar, GUI iş akışlarını tercih eden geliştiriciler ve yöneticiler arasında popülerdir. Tümü, SSH anahtar dosyaları ve sistem SSH aracısı desteği de dahil olmak üzere aynı temel SFTP protokolünü ve SSH kimlik doğrulamasını kullanır.

SFTP, FTP ile ilişkili olmayan bir SSH alt sistemidir. Şifrelenmiş SSH üzerinden kapsamlı uzak dosya sistemi işlemleri sağlar. SCP daha basittir; ancak eski protokoldeki sunucu taraflı yol geçişi açığı, alt katmanda SFTP'ye geçilerek OpenSSH 9.0'da giderilmiştir. FTPS, FTP'ye TLS eklerken SFTP tamamen SSH tabanlıdır. SSH üzerinden rsync, verimli artımlı eşzamanlama sağlar. Chroot yalıtımları, SFTP kullanıcılarını belirlenmiş dizinlerle sınırlar.