sftp - SFTPはユーザー名とパスワードを安全に送信しますか？

Question

sftpサーバーにログインした場合、ユーザー名とパスワードは安全に送信されていますか？

または、送信全体が暗号化されていることを確認するために、証明書ベースの認証が必要ですか？

これがクライアントに依存する場合、TumbleweedとWinSCPがユーザー名とパスワードを安全に送信するように構成できるかどうか知っていますか？

Answer 1

SFTP は SSH を経由し、キーを交換して安全なトンネルを確立します (最初に接続したときに、キーを受け入れて保存するように求められたことを思い出してください)。安全なトンネルが確立されると、それを通過するすべての通信が暗号化されます。ユーザー名とパスワードはトンネル経由で送信されるため、安全に送信されます。

Answer 2

SFTPの意味によって異なります。SSHファイル転送プロトコル認証を表す「実際の」SFTPの場合、認証はSSHレイヤーで行われ、安全です。「SFTP」を FTP-over-TLS の同義語として使用する人もいますが、この場合は状況によって異なります。ほとんどの場合、コマンド チャネルはユーザー名とパスワードが送信される前に暗号化されます (これは、SSL/TLS で保護された接続の場合にのみ当てはまります。平文の FTP ではありません!) しかし、クリア テキストで認証することは可能です (たとえば、デバッグ目的で)。

Answer 3

SFTP 自体はまったく認証しません。その仕様によると、安全なチャネル上で動作することを前提としています。そのため、基になるチャネルが認証を処理することを期待しています (存在する場合)。

問題は、SFTP の特定のインスタンスがどのチャネルで実行されるかということです。99% の場合、ユーザー名とパスワードを安全に送信する SSH (ポート 22) 経由で実行されます。SFTP クライアント (間違いなく WinSCP) とサーバーの大半は、SSH 以外のチャネルをサポートしていないことに注意してください。

厳密に言えば、SSH でさえ、暗号化なしまたは劣った暗号化で構成できます。ただし、ほとんどの場合、安全です。繰り返しになりますが、ほとんどの SSH クライアント (間違いなく WinSCP) とサーバーは、暗号化なしの SSH セットアップを許可していません。