SFTP 的安全级别是多少？

Question

据我了解，您使用 SFTP 具有不同级别的安全性。从最弱到最强的等级是多少？

FTP - 无法通过 SFTP
SFTP - 无主机密钥检查
SFTP - 主机密钥检查
SFTP - 登录名和密码 (LAP)
SFTP - LAP + 主机密钥

我问是因为我看过这段 Java 代码：

config.put("StrictHostKeyChecking", "no");

我了解到您可以使用或不使用密钥连接到 SFTP。

仅供参考，我的理解可能还差得很远。

Answer 1

主机密钥检查确实有助于 SSH/SFTP 的安全性。尽管它与身份验证（密码）无关。因此，这两个方面并没有结合在一起的“安全级别”。

此外，您可能会将主机密钥检查与公钥身份验证混淆。

阅读我的article on SSH keys，了解主机密钥和用于身份验证的密钥之间的区别。

---

主机密钥检查：您不应该将StrictHostKeyChecking 设置为no，除非您在专用网络中进行连接，在该网络中您不希望有任何类型的man-in-the-middle attacks。

身份验证：如果可能，请使用公钥身份验证。密码认证不太安全。

---

FTP 与 SFTP 没有任何关系。无论如何，我不知道您所说的“FTP安全级别”是什么意思。