SFTP pega carona na parte superior do SSH. A partir do FAQ do gFTP :
The SSH2 protocol uses the sftp-server executable on the remote host [...]
Isso significa que, enquanto você puder se conectar via SSH e tiver sftp-server
disponível no sistema remoto, o gFTP fará o login via SSH e invocará o servidor SFTP sozinho quando o protocolo SSH2 for selecionado. Isso é perfeitamente seguro.