Üç benzer isim, üç farklı protokol
Yedeklerinizi uzak bir sunucuya gönderirken karşınıza üç kısaltma çıkar: FTP, FTPS ve SFTP. İsimleri birbirine çok benzer, ama güvenlik düzeyleri çok farklıdır. Yanlış olanı seçmek, kullanıcı adınızı, parolanızı ve yedek dosyalarınızı ağda herkesin okuyabileceği biçimde taşımanız demek olabilir.
| FTP | FTPS | SFTP | |
|---|---|---|---|
| Açılımı | File Transfer Protocol | FTP over TLS/SSL | SSH File Transfer Protocol |
| Şifreleme | Yok: parola ve veri açık metin | Var (TLS) | Var (SSH) |
| Varsayılan port | 21 (+ ayrı veri bağlantıları) | 21 (explicit) veya 990 (implicit) (+ veri portları) | 22 (tek bağlantı) |
| Güvenlik duvarı uyumu | Zor: çok sayıda port | Zor: veri portları aralığı | Kolay: tek port |
| Kimlik doğrulama | Kullanıcı adı + parola | Parola, isteğe bağlı istemci sertifikası | Parola veya SSH anahtarı |
SFTP ≠ FTPS. İsimleri benzese de farklı protokollerdir. SFTP, FTP'nin şifreli hali değil, SSH üzerinde çalışan ayrı bir dosya aktarım protokolüdür. FTPS ise FTP'nin TLS ile korunmuş halidir.
Ağda gerçekte ne olur?
Aşağıdaki animasyon iki aktarımı yan yana gösteriyor. Düz FTP'de kullanıcı adı, parola ve veri, aynı ağdaki biri tarafından okunabilir. SFTP'de ise her şey şifreli bir tünelin içinde, dinleyen için anlamsız bir veri yığınıdır.
Örnek değerler kavramsaldır; gerçek ağ trafiği bu kadar basit görünmez.
Yedekler için hangisini seçmelisiniz?
Birinci tercih: SFTP
Yedek aktarımı için çoğu durumda en iyi seçim SFTP'dir: şifreli, tek porttan çalışır, güvenlik duvarı ve NAT ortamlarında sorun çıkarmaz ve parola yerine SSH anahtarı ile kimlik doğrulama imkânı sunar.
FTPS: ikinci tercih
Sunucunuz yalnızca FTPS destekliyorsa kabul edilebilir bir seçenektir. Ancak ayrı veri portları nedeniyle güvenlik duvarı yapılandırması zordur.
Düz FTP: kaçının
Düz FTP'yi yalnızca tamamen güvenilir, izole bir yerel ağda ve hassas olmayan veriler için düşünün. İnternet üzerinden yedek göndermek için kullanmayın.
SFTP sunucusunu güvenle yapılandırmak
- Yedek için ayrı bir kullanıcı açın. Yönetici hesabını ya da gündelik kullanıcı hesaplarını kullanmayın.
- Kullanıcıyı kendi klasörüne kısıtlayın. Yedek hesabı sunucunun başka yerlerini görmemeli.
- Mümkünse parola yerine SSH anahtarı kullanın. Anahtar tahmin edilemez; parola ise kaba kuvvetle denenebilir.
- Sunucunun parmak izini (host key) doğrulayın. Böylece ortadaki adam saldırısına karşı korunursunuz.
- Silme yetkisini sınırlayın. Yedek hesabı, mevcut yedekleri silemesin; saldırıya uğrasanız bile uzak yedek zarar görmesin.
- Erişimi IP ile kısıtlayın. Sunucu yalnızca sizin sabit IP adresinizden gelen bağlantıları kabul etsin.
- Başarısız giriş denemelerini izleyin ve engelleyin.
- Sunucuyu güncel tutun.
Protokol şifrelemesi yetmez: veriyi de şifreleyin
SFTP aktarım sırasındaki veriyi korur; ancak yedek dosyası uzak sunucuya ulaştığında sunucu yöneticisi ya da sunucuyu ele geçiren biri o dosyayı okuyabilir. Bu yüzden yedeği göndermeden önce kendi anahtarınızla şifrelemek en sağlam yaklaşımdır: protokol şifrelemesi aktarımı, dosya şifrelemesi ise sunucudaki veriyi korur. Ayrıntılar için AES-256 şifreleme yazımıza bakın.
DenizBackup ile FTP ve SFTP
DenizBackup, yedeklerinizi FTP ve SFTP sunucularına aktarabilir. Aktarımdan önce yedekler AES-256 ile şifrelenir; erişim bilgileri için Windows Credential Manager desteği ve şifreli ayar dosyaları sunulur. İnternet üzerinden gönderimlerde SFTP kullanmanızı öneririz.
Devamı: Yedeklerinizi saldırganlardan koruma yöntemlerini fidye yazılımına karşı yedekleme yazımızda anlattık.
