J'utilise un serveur de messagerie actuellement configuré pour utiliser TLS, si possible, lors de l'envoi et de la réception d'e-mails.
Lorsque vous lisez la documentation à ce sujet, vous avez également la possibilité d’appliquer TLS et de ne pas accepter la transmission de courriers électroniques en texte brut. Il vous avertit également que certains serveurs de messagerie risquent de ne pas encore prendre en charge le cryptage et que le cryptage peut bloquer ces serveurs.
Mais est-ce toujours un problème auquel on devrait penser ou faut-il dire en toute sécurité que l’application du cryptage ne sera plus un problème?
Existe-t-il un gros fournisseur qui le fait déjà ou que considérez-vous comme la meilleure pratique de nos jours?
encryption
tls
smtps
comfreak
la source
la source
Non
Le RFC 821 a 33 ans. Vous y trouverez des courriels relayés par des programmes notsupporting STARTTLS. Parfois, ce sont des expéditeurs de courrier électronique (par exemple, des scripts internes), parfois des systèmes à part entière qui sont vieux, dont le protocole TLS est désactivé / non compilé, des systèmes sans assez d'entropie…
Il n'y a pas si longtemps, j'ai constaté l'échec des e-mails sortants, car le destinataire l'avait configurée pour autoriser uniquement le protocole SMTP sur TLS. C'était un problème dans l'expéditeur (il n'aurait pas dû utiliser cette configuration), mais cela montre que cela se produit.
Je limiterais uniquement les messages entrants à partir d'adresses IP configurées manuellement. Si votre processeur de carte de crédit ne parvient pas à démarrer STARTTLS, vous préférerez probablement interrompre la connexion (et contacter l'administrateur local afin qu'il puisse le prévenir!) Plutôt que de recevoir ces données (potentiellement sensibles) non chiffrées. Pour les messages sortants, si vous vous êtes déjà connecté à cet hôte à l'aide de STARTTLS, vous souhaiterez peut-être ne pas le faire de nouveau de manière non sécurisée, en le considérant comme un compromis potentiel. Vous pouvez également disposer d'une liste d'hôtes STARTTLS connus pour une utilisation constante, tels que gmail ou yahoo.
Il existe un projet https://www.eff.org/starttls-everywhere fournissant une liste de serveurs smtp pour lesquels vous pouvez (devriez?) Appliquer en toute confiance l'utilisation de starttls.
la source
Il est totalement inutile, et probablement activement préjudiciable, de refuser le courrier électronique de pairs incapables de chiffrer.
Tant que votre serveur est configuré pour effectuer le chiffrement opportuniste avec tout pair qui le propose, vous bénéficiez du meilleur des deux mondes: le chiffrement lorsqu'il est disponible et le courrier électronique en texte clair lorsqu'il ne l'est pas.
Dans la mesure où certains serveurs ne prennent pas en charge le chiffrement, le rendre obligatoire signifie simplement qu'ils ne peuvent pas vous parler. c'est mauvais. Une fois que tout le monde le prend en charge, il n'y a plus aucune différence entre le cryptage opportuniste et le cryptage obligatoire.
Et comme d’autres l’ont souligné, le cryptage sur fil et le cryptage de bout en bout sont deux choses complètement différentes, qui traitent différents modèles de menaces. Ne confondez pas les deux.
la source
C'est une question de politique.
Généralement, lorsque TLS est appliqué pour les communications entrantes et sortantes, il s'applique à un nombre limité de domaines convenus par les parties pour répondre à un besoin (par exemple, les partenaires commerciaux peuvent avoir un accord pour crypter tous les messages entre leurs entreprises).
À moins qu'un tel accord ne soit en place, n'activez pas le mode application.
la source
Non, c'est une très mauvaise idée.
En fait, la plupart des serveurs / clients STARTTLS n’implémentent aucun algorithme de nouvelle tentative sans StartTLS en cas d’échec de la négociation d’une connexion TLS.
En tant que tel, même la publicité de STARTTLS en tant qu'option réduit déjà vos chances de recevoir (et d'envoyer) des courriels!
Effectuez une recherche et vous constaterez que de nombreuses personnes ne peuvent envoyer AUCUN courrier électronique à des domaines Microsoft Outlook gérés par le cluster * .protection.outlook.com:
Messages Sendmail rejetés par Microsoft lors de l'utilisation de TLS
raison: 403 4.7.0 La poignée de main TLS a échoué
Pour résumer les problèmes présentés dans les deux articles ci-dessus:
De même, lorsque votre hôte agit en tant que serveur, une situation similaire peut se produire en dehors de votre contrôle si vous décidez d'activer STARTTLS - lorsqu'un serveur client voit que votre serveur offre STARTTLS en mode serveur, il essaie de négocier TLS, mais en cas d'échec de la négociation , ils attendent simplement, et recommencez les mêmes étapes, échouez jusqu'à ce que le message soit renvoyé à l'expéditeur!
Et cela arrive assez souvent avec différents domaines du pays STARTTLS!
Malheureusement, bien que j’ai été un partisan de STARTTLS dans le passé, je suis maintenant très déshérité du fait que j’ai été induit en erreur par la publicité sans risque de ce que je pensais être un cryptage opportuniste.
Non seulement vous n’avez pas besoin de STARTTLS, mais il peut même être prudent de le désactiver complètement si vous voulez assurer l’interopérabilité.
la source
Je suis d'accord avec l'idée d'utiliser le TLS opportuniste. Bien que, j’en ai d’autres à ajouter à l’idée. Certains seront probablement dérangés par les suggestions, cependant, comme mes suggestions ici ne sont pas faites à la légère et sans considération suffisante, avant de porter un jugement, je vous prie de bien vouloir lire le texte intégral de la discussion à partir du lien ci-joint.
L'utilisation de TLS opportuniste est de loin la meilleure solution. L'argument MITM comme argument est un véritable fil rouge. Après tout, comme MH l’a mentionné dans un commentaire, même un «légitime» SMTP avec une connexion TLS peut être MITM et l’utilisateur final ne doit pas en être averti du fait que la grande majorité des clients de messagerie ne se soucient pas de valider les certificats couplés à la grande majorité. TLS utilise des certificats auto-signés (du moins si vous n'utilisez pas DNSSEC et TLSA / DANE.) En conséquence de cela et peut-être d'autres facteurs, on peut même soutenir que tant que vous et le reste du monde a implémenté DANE / TLSA et DNSSEC, qui, lorsqu’il utilise TLS opportuniste, vaut mieux que d’avoir également activé la fonction anonyme Diffie-Hellman (tout en utilisant également PFS). Dû au moins en partie sinon principalement au fait qu'il cryptera toujours le trafic en le protégeant de l'observateur occasionnel. Pour plus de détails sur cette configuration (avec une explication beaucoup plus élaborée que la mienne), veuillez consulter les commentaires de Viktor Dukhovni dans ce post sur un forum postfix:http://postfix.1071664.n5.nabble.com/Disabling-Anonymous-Diffie-Hellman-td67965.html
Pour ce qui est de savoir pourquoi on pourrait prendre les suggestions de Viktor avant les autres, eh bien, il a écrit le code TLS ainsi que le code DNSSEC, TLSA / DANE pour le MTA de Postfix en plus d'avoir été celui qui a écrit les brouillons de l'IETF sur les deux DNSSEC et TLSA / DANE. En tant que tel, je dirais que ses propos sur la question ont beaucoup de poids, probablement plus que ceux de la plupart.
J'espère que cela t'aides.
la source
Du point de vue du marketing par e-mail, l'utilisation de TLS est une bonne pratique et est sécurisée lorsque vous savez qu'il est implémenté tout au long de la chaîne de diffusion. Toutefois, si la sécurité est votre principale exigence, le cryptage de l'e-mail lui-même avant de l'envoyer est l'option la plus sécurisée (par exemple avec PGP).
la source