16
MTA-STS vs TLS Verschlüsselung erzwingen
Moin zusammen,
unsere erfahrenen Mailadmin kennen sicherlich das MTA-STS. Warum den ganzen Aufwand, wenn ich doch am MTA sagen kann, ab sofort bietest du nur noch verschlüsselten SMTP-Eingang an?
Kann jemand diese Frage beantworten?
unsere erfahrenen Mailadmin kennen sicherlich das MTA-STS. Warum den ganzen Aufwand, wenn ich doch am MTA sagen kann, ab sofort bietest du nur noch verschlüsselten SMTP-Eingang an?
Kann jemand diese Frage beantworten?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 470924
Url: https://administrator.de/contentid/470924
Printed on: April 19, 2024 at 11:04 o'clock
16 Comments
Latest comment
Es verschlüssen längst nicht alle.
Das macht das ganze so kompliziert.
Das macht das ganze so kompliziert.
Zitat von @WinLiCLI:
Moin zusammen,
unsere erfahrenen Mailadmin kennen sicherlich das MTA-STS. Warum den ganzen Aufwand, wenn ich doch am MTA sagen kann, ab sofort bietest du nur noch verschlüsselten SMTP-Eingang an?
Kann jemand diese Frage beantworten?
Moin zusammen,
unsere erfahrenen Mailadmin kennen sicherlich das MTA-STS. Warum den ganzen Aufwand, wenn ich doch am MTA sagen kann, ab sofort bietest du nur noch verschlüsselten SMTP-Eingang an?
Kann jemand diese Frage beantworten?
Moin,
1. Es verschlüsseln nicht alle.
2. MITM hebelt die verschlüsselung aus, weil die Zertifikate selten sauber geprüft werden.
3. Sinnvoller ist es, die Mails zu verschlüsseln, statt mur den Transport.
4. MTA-STS wird sich auch nicht durchsetzen.
lks
Was machst du denn wenn ich MEINEN Mailserver sage er darf eben nur plain-text versenden? Klar - in ner perfekten Welt hast du recht... in der REALEN Welt musst du jetzt zu jedem der euch Mails sendet gehen und die überzeugen. Viel Erfolg...
Du hast nebenbei grad mal wieder das Henne-Ei-Problem erkannt: Wenn du das einstellst würdest du ggf. dafür sorgen das andere auch umstellen - aber gleichzeitig würdest du eben auch div. Mails nicht mehr erhalten. Und solang nicht alle umstellen lohnt es für den einzelnen im normalfall einfach nicht. Klar KANN die Mail auf dem Weg mitgelesen werden - nur da ist der Transportweg zwischen den Mailservern m.E. noch das kleinste Übel... Der Weg zwischen Endgerät und Mailserver ist da mEn deutlich relevanter - und DA kannst du natürlich was machen da du diese Geräte unter Kontrolle haben solltest.
Du hast nebenbei grad mal wieder das Henne-Ei-Problem erkannt: Wenn du das einstellst würdest du ggf. dafür sorgen das andere auch umstellen - aber gleichzeitig würdest du eben auch div. Mails nicht mehr erhalten. Und solang nicht alle umstellen lohnt es für den einzelnen im normalfall einfach nicht. Klar KANN die Mail auf dem Weg mitgelesen werden - nur da ist der Transportweg zwischen den Mailservern m.E. noch das kleinste Übel... Der Weg zwischen Endgerät und Mailserver ist da mEn deutlich relevanter - und DA kannst du natürlich was machen da du diese Geräte unter Kontrolle haben solltest.
dann ist das MTA-STS also nur dafür da, das ein Angreifer nicht die Mail-Kommunikation aus Plaintext downgraden kann.
Ich habe das bei mir einfach mal mit am laufen und schaue mal wie sich das entwickelt.
Danke euch
Lg
Ich habe das bei mir einfach mal mit am laufen und schaue mal wie sich das entwickelt.
Danke euch
Lg
Zitat von @maretz:
Was machst du denn wenn ich MEINEN Mailserver sage er darf eben nur plain-text versenden? Klar - in ner perfekten Welt hast du recht... in der REALEN Welt musst du jetzt zu jedem der euch Mails sendet gehen und die überzeugen. Viel Erfolg...
Was machst du denn wenn ich MEINEN Mailserver sage er darf eben nur plain-text versenden? Klar - in ner perfekten Welt hast du recht... in der REALEN Welt musst du jetzt zu jedem der euch Mails sendet gehen und die überzeugen. Viel Erfolg...
Der Ansatz von MTA-STS ist gut, aber gerade weil kein Downgrade auf unverschlüsselte Verbinungen möglich sein darf (weil sonst eine MITM Angriff das erzwingen könnte und damit das Ganze Konzept Unsinn ist) geht eben nichts mehr unverschlüsselt.
Bei uns sind das aktuell 20%-30% aller Mails, die unverschlüsselt (Transport) eingekippt werden, teilweise von namhaften Größen, von denen ich das nicht erwartet hätte.
Wenn eine Mail Appliance eingesetzt wird, kann ggfs. die Transportverschlüsselung auf prefered umgestellte werden, schützt aber gerade dadurch nicht gegen MITM. Und wenn Du zusätzlich hierzu noch bspw. TLS 1.2 vorgibst, dann bouncen Mails, die noch 1.0 oder 1.1 einsetzen. Dann muss hierfür eine Ausnahme konfiguriert werden. Und wenn zusätzlich noch CiperSuites beschränkt werden, wird's noch schöner.
Das mit der Realen Welt hast Du schön geschrieben
Zitat von @sabines:
Bei uns sind das aktuell 20%-30% aller Mails, die unverschlüsselt (Transport) eingekippt werden, teilweise von namhaften Größen, von denen ich das nicht erwartet hätte.
Bei uns sind das aktuell 20%-30% aller Mails, die unverschlüsselt (Transport) eingekippt werden, teilweise von namhaften Größen, von denen ich das nicht erwartet hätte.
Die Transportverschlüsselung ist nicht das kritische. Das Problem ist eher die Content-Verschlüsselung, die nicht stattfindet.
Wenn eine Mail Appliance eingesetzt wird, kann ggfs. die Transportverschlüsselung auf prefered umgestellte werden, schützt aber gerade dadurch nicht gegen MITM. Und wenn Du zusätzlich hierzu noch bspw. TLS 1.2 vorgibst, dann bouncen Mails, die noch 1.0 oder 1.1 einsetzen. Dann muss hierfür eine Ausnahme konfiguriert werden. Und wenn zusätzlich noch CiperSuites beschränkt werden, wird's noch schöner.
Das mit der Realen Welt hast Du schön geschrieben
Das mit der Realen Welt hast Du schön geschrieben
Naja, Mails muß man genauso sehen wie Papierpost. Da kannst Du auch keinem Vorschreiben, Dir einen verschlossenen Brief mit Siegel zu schicken statt einem normalen Brief (der leicht geöffnet werden kann) oder eine Postkarte. Auch da wird von keinem erwartet, daß er Briefe immer persönlich übergibt und dabei den Ausweis des Empfängers überprüft.
Und bei Mails bei denen einen MITM ein Problem wäre sollte man nicht auf die Transport-Verschlüsselung, sondern auf die Ende-zu-Ende-Verschlüsselung.
lks
lks
Man erreicht mit MTA-STS immerhin, dass eine mögliche Kommunikation mit STARTTLS gekappt wird sondern erzwungen wird.
Server die keine Verschlüsselung anbieten werfen das dann eben im Klartext rein, so schade es auch ist.
Mit dem verschlüsseln des Contents bin ich auch voll bei dir. Aber wenn es soviele Admins gibt, die das mit dem verschlüsselten Transport nicht hinbekommen, dann wird alles andere oben drüber vermutlich auch nicht klappen.
Server die keine Verschlüsselung anbieten werfen das dann eben im Klartext rein, so schade es auch ist.
Mit dem verschlüsseln des Contents bin ich auch voll bei dir. Aber wenn es soviele Admins gibt, die das mit dem verschlüsselten Transport nicht hinbekommen, dann wird alles andere oben drüber vermutlich auch nicht klappen.
Zitat von @WinLiCLI:
Man erreicht mit MTA-STS immerhin, dass eine mögliche Kommunikation mit STARTTLS gekappt wird sondern erzwungen wird.
Server die keine Verschlüsselung anbieten werfen das dann eben im Klartext rein, so schade es auch ist.
Man erreicht mit MTA-STS immerhin, dass eine mögliche Kommunikation mit STARTTLS gekappt wird sondern erzwungen wird.
Server die keine Verschlüsselung anbieten werfen das dann eben im Klartext rein, so schade es auch ist.
Bist Du sicher, dass dann plain gesendet wird?
Mit dem verschlüsseln des Contents bin ich auch voll bei dir. Aber wenn es soviele Admins gibt, die das mit dem verschlüsselten Transport nicht hinbekommen, dann wird alles andere oben drüber vermutlich auch nicht klappen.
Yepp, ich rede hier seit 5 Jahren davon, dass wir das machen müssen.
Oups, das kostet ja auch noch Geld!
Da faxen wir doch lieber
Naja, MTA-STS verhindert ja nur, dass eine Server der verschlüsselt senden kann, doch als Plantext sendet, weil ein MITM in die Aushandlung der Kommunikationsart rum pfuscht und die Server die ja verschlüsselt senden könnten, doch dann nur Plaintext verwenden.
Wenn ein Server was einliefern möchte der keine Verschlüsselung spricht, dann checkt er ja auch nicht das MTA-STS.
Sollte es doch so sein, dass man durch das MTA-STS die Verschlüsselung für "jeden" Server erzwingt, dann weis ich nicht warum man MTA-STS betreiben sollte, wenn man einfach am MTA sagen kann, das smtpd nur verschlüsselt laufen soll. Dann kann man sich den Aufwand mit einem HTTP-Server sparen.
Wenn ein Server was einliefern möchte der keine Verschlüsselung spricht, dann checkt er ja auch nicht das MTA-STS.
Sollte es doch so sein, dass man durch das MTA-STS die Verschlüsselung für "jeden" Server erzwingt, dann weis ich nicht warum man MTA-STS betreiben sollte, wenn man einfach am MTA sagen kann, das smtpd nur verschlüsselt laufen soll. Dann kann man sich den Aufwand mit einem HTTP-Server sparen.
Moin,
ich schlage vor, dass du diesen Artikel /deutsch) nochmal liest, in dich gehst und somit wird deine Frage sich von alleine beantworten.
Gruß,
Dani
ich schlage vor, dass du diesen Artikel /deutsch) nochmal liest, in dich gehst und somit wird deine Frage sich von alleine beantworten.
Gruß,
Dani
Den Bericht kennt man schon.
Der beantwortet aber nicht die Frage ob es zwingen erforderlich ist, dass der smtpd-server ein gültiges Zertifikat haben muss oder ob es auch ein selbst signiertes sein kann.
lg
Der beantwortet aber nicht die Frage ob es zwingen erforderlich ist, dass der smtpd-server ein gültiges Zertifikat haben muss oder ob es auch ein selbst signiertes sein kann.
lg
Moin,
Gruß,
Dani
Der beantwortet aber nicht die Frage ob es zwingen erforderlich ist, dass der smtpd-server ein gültiges Zertifikat haben muss oder ob es auch ein selbst signiertes sein kann.
Was prüft deinem Verständnis nach MTA STS bzw. was soll damit unterbunden werden?Gruß,
Dani
Moin,
MSTS erzwingt eine Verschlüsselung zwischen Servern die Verschlüsselung beherrschen. Somit kann man das STARTTLS nicht so einfach unterdrücken.
Lg
MSTS erzwingt eine Verschlüsselung zwischen Servern die Verschlüsselung beherrschen. Somit kann man das STARTTLS nicht so einfach unterdrücken.
Lg
Zitat von @WinLiCLI:
Moin,
MSTS erzwingt eine Verschlüsselung zwischen Servern die Verschlüsselung beherrschen.
Moin,
MSTS erzwingt eine Verschlüsselung zwischen Servern die Verschlüsselung beherrschen.
Nein.
MTA-STS sagt dem Absender nur, mit welchen MX er reden muß, um den "richtigen" dranzuhaben. das Erzwingen muß der MX machen, indem er plaintext ablehnt.
Nachtrag: Bei MTA-STS geht es darum, mit dem "richtigen" MX zu reden und nicht irgendeinem MITM-MX.
lks
Moin,
Gruß,
Dani
MSTS erzwingt eine Verschlüsselung zwischen Servern die Verschlüsselung beherrschen. Somit kann man das STARTTLS nicht so einfach unterdrücken.
Das ist falsch. Darum habe ich auch den deutschen Artikel verlinkt und nicht das RFC zu MTA STS.Gruß,
Dani
wie gesagt, ich kenne den bericht schon und einige andere. das ist auch richtig das MTA-STS nicht selbst die verschlüsselung erzwingt, dass habe ich falsch beschrieben. aber MTA-STS sagt zum einen wie eben gesagt wurde, mit welchem MTA geredet werden darf und in welchem mode. wenn enforce aktiv ist, dann weis der sendende MTA, dass hier verschlüsselung verwendet werden muss. dabei wird nicht plaintext abgelehnt sondern auf verschlüsselung bestanden.
lg
lg
