Est-il toujours «erroné» d'exiger STARTTLS sur les messages SMTP entrants

15

Selon la section 5 des spécifications STARTTLS :

Un serveur SMTP référencé publiquement NE DOIT PAS nécessiter l'utilisation de l'
extension STARTTLS pour livrer le courrier localement. Cette règle
empêche l'extension STARTTLS d'endommager l'interopérabilité de l'infrastructure SMTP d'Internet. Un serveur SMTP référencé publiquement est un serveur SMTP qui s'exécute sur le port 25 d'un hôte Internet répertorié dans l'enregistrement MX (ou un enregistrement A si aucun enregistrement MX n'est présent) pour le
nom de domaine sur le côté droit d'une adresse de messagerie Internet .

Cependant, cette spécification a été écrite en 1999, et compte tenu de 2014, je m'attendrais à ce que la plupart des clients, serveurs et relais SMTP aient une sorte d'implémentation de STARTTLS.

Combien d'e-mails puis-je m'attendre à perdre si j'ai besoin de STARTTLS pour les messages entrants?

email smtp starttls jackweirdy
la source
1
Bonne question. Avoir TLS forcé ne va cependant pas empêcher le SPAM.
Matt
1
Je ne m'y attendais pas, je veux juste le cryptage (que je semble obtenir de 90% des messages entrants sans qu'il soit nécessaire) :)
jackweirdy
2
@Matt J'ai vérifié les courriers reçus récemment sur un serveur de messagerie particulier et j'ai trouvé cela. Des courriers reçus avec TLS, il y avait 4% de spam, des courriers reçus sans TLS, il y avait 100% de spam. Je ne bloquerais pas complètement les mails sans TLS sur cette base, mais c'est certainement un signal fort, qui pourrait être utilisé dans le filtrage des spams.
kasperd
@kasperd - vous pouvez activer TLS ou l'utiliser comme moyen de réduire le spam, mais cela ne durera pas. Tout ce que cela signifie, c'est que le client smtp qu'ils utilisent pour envoyer du spam vers votre serveur n'utilise pas TLS, ou essaie peut-être de ne pas utiliser TLS par défaut, mais peut essayer une session activée par TLS si elle est requise. Au mieux, vous verrez une réduction temporaire du SPAM, mais je m'attends à ce qu'il revienne à des niveaux normaux au fil du temps.
Matt
@Matt Cela s'applique à la plupart des approches actuellement adoptées contre le spam. Un autre problème avec la plupart des approches est qu'elles bloquent trop de courriels légitimes. Les gens considèrent rarement le nombre d'e-mails légitimes qu'il est acceptable de bloquer.
kasperd

Réponses:

19

Oui, c'est toujours une mauvaise idée.

Trois raisons:

  1. Alors que la RFC que vous avez citée ( RFC 2487 ) est en fait obsolète par la norme actuelle RFC 3207 , la norme actuelle conserve le verbiage NE DOIT PAS être cité dans votre question.

  2. Les clients SMTP ne sont pas requis pour implémenter STARTTLS. Il est tout à fait acceptable de ne pas le faire. Bien que STARTTLS soit de plus en plus courant, il n'est absolument pas universel.

  3. En raison des raisons 1 et 2, si vous avez besoin de STARTTLS sur toutes les connexions entrantes, vous perdrez du courrier.

Pourtant:

Votre serveur - vos règles. Si vous souhaitez rejeter arbitrairement tout courrier pour quelque raison que ce soit, ou même sans raison - c'est votre droit et privilège. (cela ne signifie pas pour autant que ce soit nécessairement une bonne idée)

Notes annexes:

Vous n'empêcherez pas le spam en exigeant STARTTLS, même si vous avez besoin d'une authentification mutuelle STARTTLS. Les spammeurs peuvent également obtenir des certificats - ou créer des certificats auto-signés. Le rejet des certificats client auto-signés entraînera également la perte de courrier légitime.

STARTTLS est le cryptage point à point. Le système de connexion peut toujours lire le contenu de l'e-mail. Si vous voulez une réelle confidentialité, vous avez besoin de quelque chose de bout en bout, comme OpenPGP ou S / MIME.

Cela dit, STARTTLS supprime une voie possible d'interception ou MITM et, par conséquent, c'est toujours une bonne idée de l'utiliser lorsque cela est possible, c'est-à-dire lorsque l'autre partie le soutient également.

Joe Sniderman
la source
1
La note sur les certificats et le spam n'est pas à sa place. C'est le destinataire qui a besoin d'un certificat et non l'expéditeur.
kasperd
cela n'aidera pas à prévenir le spam. Même si vous rendez obligatoire l'authentification STARTTLS mutuelle . Met à jour la réponse pour clarifier.
Joe Sniderman
2
+1 sur la note concernant le spam. Ce n'est pas parce qu'il est crypté qu'il est sécurisé.
Matt
10

Google maintient des statistiques ouvertes sur leur pourcentage de courrier chiffré, entrant et sortant. Ces informations devraient vous être extrêmement utiles pour déterminer si cela vaut la peine d'être implémenté:

http://www.google.com/transparencyreport/saferemail/

Matt Sergeant
la source