Регистрация Войти
Рейтинг:9
Sauron avatar Server

Должен ли я использовать SSL для SMTP-сервера только для приема?

флаг br
Sauron

Я создаю smtp-сервер, которому не нужно будет отправлять электронные письма, а только получать. Не будучи экспертом, я задавался вопросом, должен ли я все еще использовать SSL-сертификат для безопасности. Например, если я отправлю сообщение электронной почты из моего Outlook или клиента Gmail (который, как я предполагаю, отправит уже защищенное сообщение) на мой smtp-сервер без ssl, возможна ли атака «человек посередине»?

1588
4 + 0
Рейтинг:13
Paul avatar Server
флаг cn
Paul

Да. При получении почты следует использовать SSL/TLS. MITM возможен, хотя требование аутентификации DKIM должно предотвратить манипулирование сообщением. Подписанный сертификат — лучший способ смягчить MITM, и они бесплатны с Let's Encrypt и легко автоматизируются, если вы используете платформу, которая их поддерживает.

0 + 3
Hagen von Eitzen avatar
флаг cn
Hagen von Eitzen
Это больше, чем просто использовать Let's Encrypt и думать, что с вами все в порядке: https://community.letsencrypt.org/t/lets-encrypt-for-smtp/66171
3
Ответить
Paul avatar
флаг cn
Paul
То же самое относится и к DANE, поскольку для этого требуются такие вещи, как регистратор, который поддерживает DNSSEC, а многие этого не делают или делают его настолько сложным, что на практике пользователи отказываются от попыток включить его. Для DANE требуется DNS-сервер, поддерживающий записи TLSA, а многие, даже крупные, этого не делают. Тогда отправляющие серверы должны уважать DANE. Сложное в реализации решение обычно оказывается неиспользованным. Кроме того, ваш комментарий по какой-то необъяснимой причине утверждает, что я сделал некоторую ссылку на Let's Encrypt *как* на решение вместо того, что я на самом деле заявил, что это делает решение *более простым* для реализации.
0
Ответить
флаг jp
Esa Jokinen
Вы заявляете, что «подписанный сертификат — лучший способ уменьшить MITM», что неверно для SMTP, Let’s Encrypt или нет.
0
Ответить
Рейтинг:8
avatar Server
флаг jp
Esa Jokinen

Что касается SMTP, TLS не является пуленепробиваемым для предотвращения MitM, потому что сильная обратная совместимость позволяет использовать самозаверяющие сертификаты, старые версии TLS и SSL и даже откат к незашифрованным соединениям. Поскольку SMTP-подключение к порту 25/tcp всегда начинается с простого текста и требует СТАРТЛС MitM легко лишить 250-STARTTLS, делая клиент считаю, что сервер не поддерживает TLS. Аутентификация именованных объектов на основе DNS (ДАН, RFC 6698) решает эту проблему, но должен поддерживаться обеими сторонами.

Тем не менее, TLS по-прежнему полезен с SMTP, потому что без его использования MitM становится легче и сложнее обнаружить. например, из предыдущего Получили заголовок, вы должны увидеть, было ли соединение зашифровано или нет, вместе с используемым набором шифров.

0 + 0
Рейтинг:1
avatar Server
флаг us
Jasen

Да, вы должны, если в вашем домене есть DNSSEC, вам, вероятно, также следует развернуть DANE,

0 + 0
Рейтинг:-1
avatar Server
флаг cn
Shadur

Да.

  1. Это не больно.
  2. Let's Encrypt бесплатен и требует минимального времени для настройки, особенно если вы уже используете его.
0 + 0
флаг Moldova
Admin
Этот вопрос на других языках:

Ответить или комментировать

Большинство людей не понимают, что склонность к познанию нового открывает путь к обучению и улучшает межличностные связи. В исследованиях Элисон, например, хотя люди могли точно вспомнить, сколько вопросов было задано в их разговорах, они не чувствовали интуитивно связи между вопросами и симпатиями. В четырех исследованиях, в которых участники сами участвовали в разговорах или читали стенограммы чужих разговоров, люди, как правило, не осознавали, что задаваемый вопрос повлияет — или повлиял — на уровень дружбы между собеседниками.