FTP, FTPS, SFTP e TFTP em automação: diferenças e uso seguro
Diferencie protocolos de transferência, canais de controle e dados, modo ativo/passivo, SSH, TLS, integridade, permissões e testes de backup ou firmware.
Escolha do protocolo de transferência
| Protocolo | Transporte e proteção | Atenção em OT |
|---|---|---|
| FTP | TCP, controle + dados, sem proteção nativa | modo ativo/passivo e credenciais expostas |
| FTPS | FTP protegido por TLS | certificado e múltiplas conexões |
| SFTP | subsistema sobre SSH | host key, conta e diretório mínimo |
| TFTP | UDP simples, sem autenticação | segmentação, janela e arquivos restritos |
| Mecanismo do fabricante | varia | assinatura, compatibilidade e rollback |
Use hash ou assinatura para provar o artefato, independentemente do transporte.
Os quatro nomes não representam o mesmo mecanismo
FTP usa uma conexão de controle e conexões separadas de dados. FTPS adiciona TLS ao FTP, preservando essa arquitetura. SFTP é um protocolo de arquivos operando como subsistema do SSH e não é “FTP pela porta 22”. TFTP é uma transferência simples sobre UDP, sem diretórios e sem autenticação nativa. Escolher pela sigla ou porta cria regras de firewall e expectativas erradas.
Em automação, esses serviços aparecem em backup, firmware, COMTRADE, configurações, logs e carregamento inicial. O arquivo pode alterar comportamento operacional; portanto, origem, destino, versão, hash, autorização e rollback são parte do fluxo, não detalhes administrativos.
FTP ativo e passivo mudam quem abre a conexão de dados
No modo ativo, o servidor inicia a conexão de dados de volta ao cliente; no passivo, o cliente abre para um endereço e porta informados pelo servidor. NAT e firewalls stateful tornam o passivo mais comum, mas exigem faixa de portas definida e endereço anunciado correto. Liberar “porta 21” pode permitir login e falhar somente ao listar ou transferir.
Diagnostique separando controle e dados. Leia respostas FTP, comando PASV/EPSV ou PORT e tentativa TCP correspondente. Helpers de firewall podem interpretar FTP, porém TLS no FTPS oculta comandos e exige configuração adequada. Evite faixas dinâmicas enormes como correção rápida.
FTPS explícito e implícito não são intercambiáveis
FTPS explícito começa em FTP e solicita proteção TLS no canal de controle; o servidor pode exigir proteção também nos dados. O modo implícito pressupõe TLS desde o início e usa convenções diferentes. Cliente, servidor, porta e política precisam concordar. Um handshake bem-sucedido no controle não garante que o canal de dados esteja protegido.
Valide certificado, hostname, cadeia, data e versões TLS. Não marque “aceitar qualquer certificado” em software de engenharia permanente. Se o equipamento usa certificado próprio, distribua confiança controladamente ou use uma autoridade adequada à zona.
SFTP herda identidade e transporte do SSH
SFTP usa a negociação, host key e autenticação SSH; depois abre um subsistema de arquivos. Isso permite uma única conexão protegida e políticas por usuário, mas o suporte do servidor pode ser limitado. Alguns IEDs oferecem SCP, não SFTP; outros expõem SFTP com diretórios e operações restritas.
Uma conta de backup deve enxergar somente o caminho necessário e não receber shell. Teste upload, download, rename, remoção e arquivo parcial conforme o uso. A host key precisa ser validada como no acesso SSH; ignorá-la permite enviar firmware ou configuração ao destino errado.
TFTP é simples porque não autentica nem protege
TFTP usa UDP e blocos confirmados, com recursos mínimos. Pode ser útil em boot e dispositivos antigos, mas qualquer controle de acesso depende da rede, do servidor e do diretório exposto. Não há confidencialidade nem autenticação nativa. Restrinja por origem, janela e arquivos, desligando o serviço quando não necessário.
O primeiro pedido costuma usar a porta conhecida e a transferência continua com portas UDP escolhidas pelos endpoints. ACL que libera apenas a porta inicial pode falhar após o primeiro pacote. Capture request, bloco, ACK, retransmissões e erro para localizar a fronteira.
Integridade do arquivo precisa ser comprovada fora do transporte
TLS e SSH protegem dados em trânsito, mas não garantem que o arquivo aprovado é a versão correta. Use hash publicado ou calculado em origem confiável, assinatura do fabricante quando disponível, tamanho e identificação de revisão. Registre quem autorizou a mudança e qual backup permite retorno.
Transferência concluída não significa aplicação concluída. Equipamentos podem validar pacote, reiniciar, migrar configuração ou rejeitar versão. Monitore logs, alimentação e comunicação de processo. Não reinicie múltiplos ativos simultaneamente sem plano de recuperação.
Falhas comuns e evidências
Login funciona e listagem falha sugere canal de dados FTP, permissão ou diretório. Timeout após request TFTP aponta ACL, caminho ou servidor. SFTP com host key alterada requer validação de identidade. FTPS que falha após certificado pode envolver protocolo TLS, nome ou política de dados. Mensagem de espaço insuficiente não é falha de rede.
Colete logs do cliente e servidor, captura, regra de firewall, conta, caminho, hash e espaço. Preserve arquivos parciais quando seguro. Mudar simultaneamente modo, porta e credencial impede identificar a causa.
Comissionamento de backup e firmware
Teste arquivo pequeno e depois tamanho representativo, interrupção no meio, retomada quando suportada, espaço cheio e credencial negada. Confirme que o arquivo não fica visível a usuários indevidos e que o servidor não aceita escrita fora do diretório. Meça tempo no enlace de contingência.
No aceite de firmware, valide hash antes e depois, compatibilidade, fonte auxiliar, rollback e retorno dos serviços. Remova contas, regras e arquivos temporários. A evidência deve cobrir transferência, aplicação e recuperação operacional.
Referências técnicas e normas
As explicações do Portal são autorais. Normas e fontes oficiais são priorizadas; materiais acadêmicos e documentação pública de fabricantes complementam a implementação e não substituem a edição normativa aplicável ao projeto.
- IEC 62443-3-3:2013 — System security requirements and security levels — IEC. Requisitos técnicos de segurança para sistemas de automação e controle industrial.
- NIST SP 800-82 Rev. 3 — Guide to Operational Technology Security — NIST. Arquiteturas, ameaças e controles aplicáveis a ambientes OT.
- RFC 1122 — Requirements for Internet Hosts — Communication Layers — RFC Editor / IETF. Requisitos de IP, ICMP e camadas de comunicação em hosts.
- RFC 8200 — Internet Protocol, Version 6 (IPv6) Specification — RFC Editor / IETF. Especificação vigente do IPv6.
- RFC 9110 — HTTP Semantics — RFC Editor / IETF. Semântica atual de métodos, campos e códigos HTTP.
- RFC 8446 — The Transport Layer Security (TLS) Protocol Version 1.3 — RFC Editor / IETF. TLS 1.3, handshake, autenticação e proteção do transporte.
- RFC 9325 — Recommendations for Secure Use of TLS and DTLS — RFC Editor / IETF. Recomendações atuais para versões, algoritmos e configuração TLS.
- RFC 4251 — The Secure Shell (SSH) Protocol Architecture — RFC Editor / IETF. Arquitetura SSH e separação entre transporte, autenticação e conexão.
- RFC 5424 — The Syslog Protocol — RFC Editor / IETF. Formato, facility, severity, timestamp e dados estruturados de Syslog.
- RFC 3411 — Architecture for Describing SNMP Management Frameworks — RFC Editor / IETF. Arquitetura do framework SNMP.
- RFC 3414 — User-based Security Model (USM) for SNMPv3 — RFC Editor / IETF. Autenticação e privacidade do SNMPv3 USM.
- IEEE 802.1AB-2016 — Station and Media Access Control Connectivity Discovery — IEEE Standards Association. LLDP e descoberta de conectividade em camada 2.
- RFC 4253 — The Secure Shell Transport Layer Protocol — RFC Editor / IETF. Negociação, autenticação do servidor, sigilo e integridade do SSH.
- RFC 854 — Telnet Protocol Specification — RFC Editor / IETF. Especificação do terminal virtual Telnet, sem proteção criptográfica nativa.
- RFC 959 — File Transfer Protocol — RFC Editor / IETF. FTP, canal de controle e conexões de dados.
- RFC 4217 — Securing FTP with TLS — RFC Editor / IETF. Uso explícito de TLS no FTP.
- RFC 1350 — The TFTP Protocol (Revision 2) — RFC Editor / IETF. Transferência simples sobre UDP, sem autenticação nativa.
Continue estudando
Os próximos conteúdos foram escolhidos para formar uma sequência técnica, relacionando fundamento, configuração, diagnóstico e aplicação.