SCP

Wat is SCP?

SCP (Secure Copy Protocol) is een methode en commandoregelprogramma om bestanden versleuteld en geauthenticeerd tussen twee computers te kopiëren via een SSH-verbinding. SCP ontstond in de jaren negentig als veilige vervanger van het onversleutelde BSD-commando rcp en hergebruikt alle beveiliging van SSH: dezelfde poort, dezelfde sleutels en dezelfde versleuteling. Er bestaat geen formele RFC voor; het gedrag is in feite vastgelegd door de implementatie in OpenSSH.

In OT-netwerken wordt SCP gebruikt voor het overzetten van configuraties, logbestanden of Firmware tussen Linux-gebaseerde apparaten, zoals een Firewall, een edge-platform of SIEM-servers. Veel industriële switches en routers ondersteunen SCP om configuraties en images te laden.

🧠 Hoe werkt SCP?

Een SCP-overdracht verloopt in vier stappen:

1. De gebruiker of een script voert het scp-commando uit op de client, met een bron en een bestemming in de vorm gebruiker@host:pad.
2. Het programma start een SSH-sessie naar de externe host, standaard op TCP-poort 22.
3. De host wordt geverifieerd via de bekende hostsleutel en de gebruiker meldt zich aan (authenticatie) met een wachtwoord of, beter, een SSH-sleutel.
4. De bestanden gaan versleuteld over het SSH-kanaal, waarbij SSH de integriteit van elk pakket controleert.

Kenmerken:

• Commandoregel en scriptbaar - ideaal voor herhaalbare taken en automatisering
• Versleuteld - beschermt zowel de inhoud als de inloggegevens tegen afluisteren
• Geen extra server nodig - waar een SSH-server draait, werkt SCP meestal direct
• Alleen kopiëren - geen mappen tonen, hernoemen of verwijderen; daarvoor is SFTP bedoeld

Klassiek protocol en de overstap naar SFTP

Het oorspronkelijke scp/rcp-protocol liet de externe shell bestandsnamen en jokertekens uitwerken. Dat maakte het kwetsbaar en lastig te beveiligen. In januari 2019 publiceerde onderzoeker Harry Sintonen een reeks lekken in de scp-client (CVE-2018-20685, CVE-2019-6109, CVE-2019-6110 en CVE-2019-6111): een kwaadaardige server of een man-in-the-middle kon bestanden in de doelmap overschrijven, bijvoorbeeld authorized_keys, en dat via verborgen stuurtekens in de voortgangsbalk maskeren. OpenSSH 8.0 (april 2019) bracht mitigaties en noemde het protocol “outdated, inflexible and not readily fixed”.

Daarna volgde een geleidelijke overstap:

Het commando scp blijft dus bestaan, maar onder de motorkap is het tegenwoordig een SFTP-client met de bekende scp-syntaxis.

🔍 Wat is het verschil tussen SCP, SFTP, rsync en FTP?

🏭 Waar wordt SCP gebruikt in industriële netwerken?

• Firmware uploaden naar edge-apparaten, firewalls, een industriële switch of een router
• Configuraties veiligstellen - netwerkapparatuur zoals Cisco IOS kan als SCP-server dienen (ip scp server enable) voor het ophalen en terugzetten van configuraties
• Log- en auditbestanden ophalen vanaf een Engineering Station of Historian
• Geautomatiseerde taken via scripts voor back-up of rapportage, met een sleutel die alleen die taak mag uitvoeren
• Via een Jump Server of Bastion Host - met scp -J loopt de overdracht door de beheerzone zonder dat het bestand op de tussenhost blijft staan
• Commissioning en testomgevingen - snel een image of logbestand verplaatsen tijdens inbedrijfstelling

Voorbeelden:

scp config.xml beheer@192.168.0.10:/etc/device/
scp -P 2222 -i ~/.ssh/ot_backup beheer@10.10.20.5:/var/log/audit.log ./logs/
scp -J beheer@jumphost.ot.local firmware.bin beheer@10.20.30.40:/tmp/

Let op: bij scp geeft u de poort op met een hoofdletter -P, terwijl ssh een kleine -p gebruikt.

🔧 Hoe zet u SCP veilig in binnen OT?

Een praktische aanpak in vijf stappen:

1. Inventariseer welke apparaten SCP of SSH aanbieden en welke OpenSSH-versie of firmware ze draaien. Ingebedde SSH-servers in OT-apparatuur lopen vaak jaren achter; neem ze op in vulnerability management.
2. Kies het transport - gebruik waar mogelijk de SFTP-modus (standaard sinds OpenSSH 9.0). Gebruik -O alleen voor oudere apparaten die geen SFTP-subsysteem hebben, en alleen naar vertrouwde hosts.
3. Regel de toegang - aparte accounts per persoon of taak, Ed25519-sleutels met passphrase, wachtwoordlogin uit en minimale rechten. Beperk het doelpad of gebruik een geforceerd commando voor back-upaccounts.
4. Beperk het netwerkpad - sta poort 22 alleen toe tussen de beheerzone en de doelapparaten via firewallregels en een ACL, in lijn met netwerksegmentatie en het Purdue Model.
5. Controleer en log - vergelijk een SHA-256-hash van firmware vóór en na overdracht, gebruik ondertekende firmware waar beschikbaar en stuur SSH-logregels naar het SIEM voor een volledige audittrail via logging.

Typische instellingen en waarden:

🔐 Welke beveiligingsrisico’s en eisen gelden voor SCP?

• Kwetsbaarheden in SSH-implementaties - lekken als Terrapin (CVE-2023-48795) en regreSSHion (CVE-2024-6387) treffen het SSH-protocol respectievelijk de OpenSSH-server waarover ook SCP loopt; houd ze bij via patchmanagement
• Misbruik voor laterale beweging - aanvallers met gestolen sleutels gebruiken SCP om tools of buitgemaakte data te verplaatsen, en ook ransomwaregroepen werken zo
• Onbeheerde sleutels - privésleutels zonder passphrase op gedeelde engineeringstations zijn een bekend zwak punt
• IEC 62443-3-3 - SCP helpt bij systeemeisen als SR 1.1 (identificatie en authenticatie), SR 3.1 (integriteit van communicatie) en SR 4.1 (vertrouwelijkheid), mits toegangsbeheer en logging (SR 2.8) goed zijn ingericht
• ISO 27001 en de Cyberbeveiligingswet - sinds 15 augustus 2026 moeten essentiële en belangrijke entiteiten in Nederland passende maatregelen nemen voor veilige netwerk- en systeemtoegang; versleutelde, gelogde bestandsoverdracht hoort daarbij

SCP is krachtig, maar moet onderdeel zijn van een beheersbare en controleerbare toegangsflow, binnen gedefinieerde zones van de IEC 62443-architectuur.

❓ Veelgestelde vragen

Is SCP nog veilig om te gebruiken?

SCP is veilig om te gebruiken zolang de client en server actuele OpenSSH-versies draaien. Sinds OpenSSH 9.0 gebruikt het scp-commando standaard het SFTP-protocol, waardoor de bekende lekken van het oude scp/rcp-protocol grotendeels vervallen. Alleen met de optie -O naar een onbetrouwbare server is extra voorzichtigheid nodig.

Welke poort gebruikt SCP?

SCP gebruikt dezelfde poort als SSH, standaard TCP-poort 22. Een andere poort geeft u bij scp op met de hoofdletteroptie -P. Een aparte SCP-poort bestaat niet, omdat SCP altijd over een SSH-verbinding loopt.

Kan SCP een onderbroken overdracht hervatten?

SCP kan een onderbroken overdracht niet hervatten en begint opnieuw vanaf het begin. Voor grote bestanden over instabiele OT-verbindingen zijn SFTP-clients met hervatfunctie of rsync over SSH beter geschikt. rsync stuurt bovendien alleen de gewijzigde delen van een bestand.

Hoe gebruik ik SCP op Windows?

SCP zit sinds Windows 10 (versie 1809) en Windows Server 2019 standaard in de OpenSSH-client van Windows, zodat scp direct in PowerShell werkt. Grafische alternatieven zijn WinSCP en het PuTTY-hulpprogramma pscp. Op engineeringstations is het verstandig de installatie en sleutels centraal te beheren.

Wanneer kiest u SFTP in plaats van SCP?

SFTP is de betere keuze voor interactief beheer, mappen doorzoeken, rechten aanpassen of het hervatten van overdrachten. SCP blijft handig voor één snelle kopie of een eenvoudig script. Omdat SCP tegenwoordig zelf SFTP gebruikt, is het verschil vooral een kwestie van functionaliteit en gemak.

Werkt SCP via een jump server?

SCP werkt via een jump server met de optie -J, beschikbaar sinds OpenSSH 8.0. De verbinding loopt dan door de jumphost naar het doelapparaat zonder dat het bestand op de tussenhost wordt opgeslagen. Dat past bij een architectuur met een beheerzone tussen IT en OT.

📌 Samengevat

SCP is een eenvoudige, scriptbare en versleutelde manier om bestanden via SSH over te dragen binnen OT-netwerken, mits u actuele OpenSSH-versies, sleutelauthenticatie, gesegmenteerde netwerkpaden en logging combineert. Sinds OpenSSH 9.0 werkt scp onder de motorkap met SFTP, zodat u de vertrouwde syntaxis houdt zonder de zwakheden van het oude protocol.