Ist es immer noch „falsch“, STARTTLS für eingehende SMTP-Nachrichten zu fordern?

15

Gemäß der STARTTLS-Spezifikation in Abschnitt 5:

Ein öffentlich referenzierter SMTP-Server DARF NICHT die Verwendung der
STARTTLS-Erweiterung erfordern, um E-Mails lokal zuzustellen. Diese Regel
verhindert, dass die STARTTLS-Erweiterung die Interoperabilität der SMTP-Infrastruktur des Internets beeinträchtigt. Ein öffentlich referenzierter SMTP-Server ist ein SMTP-Server, der an Port 25 eines Internet-Hosts ausgeführt wird, der im MX-Eintrag (oder in einem Eintrag, wenn kein MX-Eintrag vorhanden ist) für den
Domänennamen auf der rechten Seite einer Internet-Mail-Adresse aufgeführt ist .

Diese Spezifikation wurde jedoch im Jahr 1999 geschrieben. Angesichts des Jahres 2014 würde ich davon ausgehen, dass die meisten SMTP-Clients, -Server und -Relays eine Implementierung von STARTTLS aufweisen.

Wie viel E-Mail kann ich erwarten, wenn ich STARTTLS für eingehende Nachrichten benötige?

email smtp starttls verrückt
quelle
1
Gute Frage. Wenn TLS erzwungen wird, wird SPAM dennoch nicht verhindert.
Matt
1
Ich erwarte es nicht, ich möchte nur die Verschlüsselung (die ich anscheinend von 90% der eingehenden Nachrichten
bekomme,
2
@Matt Ich habe kürzlich empfangene Mails auf einem bestimmten Mailserver überprüft und diese gefunden. Von den mit TLS empfangenen Mails waren 4% Spam, von den ohne TLS empfangenen Mails 100% Spam. Ich würde Mails ohne TLS auf dieser Basis nicht vollständig blockieren, aber es ist sicherlich ein starkes Signal, das bei der Spam-Filterung verwendet werden könnte.
Kasperd
@kasperd - Sie können TLS aktivieren oder als Mittel zur Reduzierung von Spam verwenden, dies wird jedoch nicht von Dauer sein. Alles was es wirklich bedeutet ist, dass der SMTP-Client, den sie zum Pushen von Spam auf Ihren Server verwenden, kein TLS verwendet oder möglicherweise versucht, TLS nicht standardmäßig zu verwenden, aber möglicherweise eine TLS-fähige Sitzung versucht, wenn dies erforderlich ist. Bestenfalls werden Sie eine vorübergehende Reduzierung von SPAM bemerken, aber ich gehe davon aus, dass es mit der Zeit wieder zu normalen Werten zurückkehren wird.
Matt
@Matt Das gilt für die meisten Ansätze, die derzeit gegen Spam ergriffen werden. Ein weiteres Problem bei den meisten Ansätzen ist, dass sie zu viele legitime E-Mails blockieren. Menschen denken selten darüber nach, wie viele legitime E-Mails blockiert werden dürfen.
Kasperd

Antworten:

19

Ja, das ist immer noch eine schlechte Idee.

Drei Gründe:

  1. Während der RFC, den Sie zitiert haben ( RFC 2487 ), tatsächlich durch den aktuellen Standard RFC 3207 veraltet ist, behält der aktuelle Standard das in Ihrer Frage angegebene MUSS-NICHT-Zitat bei.

  2. SMTP-Clients sind nicht erforderlich, um STARTTLS zu implementieren. Es ist völlig akzeptabel, dies nicht zu tun. Während STARTTLS immer üblicher wird, ist es absolut nicht universell.

  3. Wenn Sie STARTTLS für alle eingehenden Verbindungen benötigen, gehen aus den Gründen 1 und 2 E-Mails verloren.

Jedoch:

Ihr Server - Ihre Regeln. Wenn Sie eine E-Mail aus irgendeinem Grund oder sogar ohne Grund willkürlich ablehnen möchten, ist dies Ihr Recht und Privileg. (bedeutet aber nicht, dass es unbedingt eine gute Idee ist)

Randnotizen:

Sie werden Spam nicht verhindern, indem Sie STARTTLS benötigen, selbst wenn Sie eine gegenseitige STARTTLS-Authentifizierung benötigen. Spammer können auch Zertifikate erhalten - oder selbst signierte erstellen. Das Ablehnen von selbstsignierten Client-Zertifikaten führt auch zum Verlust legitimer E-Mails.

STARTTLS ist eine Punkt-zu-Punkt-Verschlüsselung. Das Verbindungssystem kann weiterhin den Inhalt der E-Mail lesen. Wenn Sie echte Privatsphäre wünschen, benötigen Sie eine End-to-End-Lösung wie OpenPGP oder S / MIME.

Trotzdem entfernt STARTTLS einen möglichen Abhörweg oder MITM, und daher ist es immer noch eine gute Idee, ihn zu verwenden, wenn dies machbar ist, dh wenn die andere Seite ihn auch unterstützt.

Joe Sniderman
quelle
1
Der Hinweis zu Zertifikaten und Spam ist unangebracht. Es ist der Empfänger, der ein Zertifikat benötigt, nicht der Absender.
Kasperd
Es wird nicht dazu beitragen, Spam zu verhindern. Auch wenn Sie die gegenseitige STARTTLS-Authentifizierung obligatorisch machen. Wird die Antwort aktualisieren, um zu klären.
Joe Sniderman
2
+1 Hinweis zu Spam. Nur weil es verschlüsselt ist, ist es nicht sicher.
Matt
10

Google führt offene Statistiken über den Prozentsatz der E-Mails, die sowohl eingehend als auch ausgehend verschlüsselt sind. Diese Informationen sollten für Sie äußerst nützlich sein, um festzustellen, ob sich die Implementierung lohnt:

http://www.google.com/transparencyreport/saferemail/

Matt Sergeant
quelle