I roto i te poto, ko te MTA-STS he huarahi ki te tiaki i nga imeera mai i te haukoti (arā, ko nga whakaeke tangata-i-te-waenganui aka MitM) ka tukuna i waenga i nga kaitoro mēra. Ka whakatauhia e ia nga raruraru hoahoanga tuku iho o nga kawa imeera me te whakaahuatanga i roto i te paerewa RFC 8461. Na ka whakaahuahia i roto i nga korero i raro i te tapahi.
He aha te raruraru ka whakaotihia e MTA-STS?
I nga wa o mua, ka tukuna e nga kawa imeera (SMTP, POP3, IMAP) nga korero i roto i nga tuhinga maamaa, i taea ai te haukoti, hei tauira, i te wa e uru atu ana ki te hongere korero.
He aha te ahua o te tikanga mo te tuku reta mai i tetahi kaiwhakamahi ki tetahi atu:
I nga wa o mua, ka taea te whakaeke MitM ki nga waahi katoa e rere ana nga mēra.
Me whakamahi te RFC 8314 i te TLS i waenga i te tono kaiwhakamahi mēra (MUA) me te tūmau mēra. Mēnā kei te ū tō tūmau me ngā tono mēra e whakamahia ana e koe ki te RFC 8314, kua whakakorea e koe (te nuinga) te tupono o nga whakaeke Man-in-the-Middle i waenga i te kaiwhakamahi me nga tūmau mēra.
Ma te whai i nga tikanga e whakaaetia ana (kua whakatauhia e te RFC 8314) ka whakakorehia te whakaeke tata ki te kaiwhakamahi:
Ko nga kaitoro mēra Mail.ru i tutuki ki te RFC 8314 ahakoa i mua i te tangohanga o te paerewa; inaa, ka hopu noa i nga tikanga kua whakaaehia, karekau matou e whirihora i tetahi atu mea. Engari, ki te whakaae tonu to kaimau mēra ki nga kaiwhakamahi ki te whakamahi i nga kawa haumaru, kia kaha ki te whakatinana i nga taunakitanga o tenei paerewa, na te mea Ko te nuinga, ko etahi o nga kaiwhakamahi kei te mahi me te mēra kaore he whakamunatanga, ahakoa kei te tautoko koe.
Ka mahi tonu te kiritaki mēra me te tūmau mēra kotahi o te whakahaere kotahi. Ka taea e koe te akiaki i nga kaiwhakamahi katoa ki te hono i runga i te haumaru, katahi ka kore e taea e nga kaiwhakamahi kore-haumaru te hono atu (koinei te mea e hiahiatia ana e RFC 8314). He uaua tenei i etahi wa, engari ka taea. Ko te hokohoko i waenga i nga kaiwhakarato mēra he uaua ake. No nga whakahaere rereke nga tūmau, ka whakamahia i roto i te aratau "whakatakotoria me te wareware", e kore ai e taea te huri ki te kawa haumaru i te wa kotahi me te kore e pakaru te hononga. Kua roa a SMTP e whakarato ana i te toronga STARTTLS, ka taea e nga tūmau e tautoko ana te whakamunatanga ki te huri ki TLS. Engari ka taea e te kaiwhaiwhai te kaha ki te whakaawe i nga waka ka taea te "tapahia" nga korero mo te tautoko mo tenei whakahau me te akiaki i nga kaitoro ki te korero ma te whakamahi i te kawa tuhinga maamaa (ko te mea e kiia nei ko te whakaeke whakaheke). Mo taua take ano, karekau a STARTTLS e tirotiro i te mana o te tiwhikete (ka taea e te tiwhikete kore pono te whakamarumaru mai i nga whakaeke wahangu, a ehara tenei i te kino atu i te tuku karere i roto i nga tuhinga maamaa). No reira, ko te STARTTLS anake te whakamarumaru mai i te wawaotanga haruru.
Ka whakakorehia e te MTA-STS te raru o te haukoti i nga reta i waenga i nga kaitoro mēra, i te wa e kaha ana te kaiwhaiwhai ki te whakaawe i nga waka. Mena ka whakaputahia e te rohe o te kaiwhiwhi he kaupapa here MTA-STS me te tautoko a te kaituku i te MTA-STS, ka tukuna noa e ia te imeera i runga i te hononga TLS, anake ki nga kaitoro kua tautuhia e te kaupapa here, me te whakamana i te tiwhikete o te tūmau.
He aha te wahanga? Ka mahi noa a MTA-STS mena kua tupato nga taha e rua ki te whakatinana i tenei paerewa, kaore hoki a MTA-STS e tiaki i nga ahuatanga e taea ai e te kaiwhaiwhai te tiki tiwhikete rohe whaimana mai i tetahi o nga CA whanui.
Me pehea te mahi a MTA-STS
Kaiwhiwhi
- Ka whirihora i te tautoko STARTTLS me te tiwhikete whaimana i runga i te tūmau mēra.
- Ka whakaputa i te kaupapa here MTA-STS ma HTTPS; he rohe mta-sts motuhake me tetahi ara rongonui motuhake ka whakamahia hei whakaputa, hei tauira
https://mta-sts.mail.ru/.well-known/mta-sts.txt. Kei roto i te kaupapa here he rarangi o nga tūmau mēra (mx) e whai mana ana ki te whiwhi mēra mo tenei rohe. - Ka whakaputahia he rekoata TXT motuhake _mta-sts i DNS me te putanga kaupapa here. Ina huri te kaupapa here, me whakahōu tēnei tāurunga (he tohu tēnei i te kaituku ki te uiui anō i te kaupapa here). Hei tauira,
_mta-sts.mail.ru. TXT "v=STSv1; id=20200303T120000;"
Kaituku
Ka tono te kaituku i te rekoata DNS _mta-sts, a mena kei te waatea, ka tono kaupapa here ma te HTTPS (tirohia te tiwhikete). Ko te kaupapa here ka puta he keteroki (mehemea ka aukatia e te kaitukino te uru atu ki a ia, ka tinihangatia ranei te rekoata DNS).
I te tuku mēra, ka tirohia ko:
- kei roto i te kaupapa here te tūmau e tukuna ai te mēra;
- ka whakaae te tūmau ki te mēra mā te whakamahi i te TLS (STARTTLS) ā, he tiwhikete whai mana.
Nga painga o MTA-STS
Ka whakamahi a MTA-STS i nga hangarau kua whakatinanahia ki te nuinga o nga whakahaere (SMTP+STARTTLS, HTTPS, DNS). Mo te whakatinanatanga i te taha kaiwhiwhi, kaore e hiahiatia he tautoko rorohiko motuhake mo te paerewa.
Nga huakore o MTA-STS
He mea tika ki te aroturuki i te mana o te paetukutuku me te tiwhikete tūmau mēra, te reta o nga ingoa, me te whakahou i te waa. Ko nga raru o te tiwhikete ka kore e taea te tuku mēra.
I te taha kaituku, ka hiahiatia he MTA me te tautoko mo nga kaupapa here MTA-STS; i tenei wa, kaore a MTA-STS e tautokohia mai i te pouaka o te MTA.
Ka whakamahi a MTA-STS i te rarangi o nga CA pakiaka pono.
Kaore a MTA-STS e tiaki i nga whakaeke e whakamahia ana e te kaitukino tetahi tiwhikete whaimana. I te nuinga o nga wa, ko te MitM e tata ana ki te tūmau e whakaatu ana i te kaha ki te tuku tiwhikete. Ka taea te kite i taua whakaeke ma te whakamahi i te Tiwhikete Transparency. Na reira, i te nuinga o te waa, ka whakaitihia e te MTA-STS, engari kaore e tino whakakorehia, te waahi o te waahi waka.
Ko nga tohu whakamutunga e rua ka iti ake te haumaru o te MTA-STS i te paerewa DANE whakataetae mo SMTP (RFC 7672), engari he pono ake i te hangarau, ara. mo te MTA-STS he iti te tupono ka kore e tukuna te reta na runga i nga raruraru hangarau na te whakatinanatanga o te paerewa.
Paerewa whakataetae - DANE
Ka whakamahi a DANE i te DNSSEC ki te whakaputa i nga korero tiwhikete me te kore e hiahia kia whakawhirinaki ki nga mana tiwhikete o waho, he tino haumaru ake. Engari ko te whakamahi i te DNSSEC he maha nga wa ka paheke te hangarau, i runga i nga tatauranga mo nga tau maha o te whakamahinga (ahakoa he ahua pai te ahua o te pono o DNSSEC me tana tautoko hangarau). Hei whakatinana i te DANE i roto i te SMTP i te taha o te kaiwhiwhi, ko te noho mai o DNSSEC mo te rohe DNS he mea tika, me te tautoko tika mo NSEC / NSEC3 he mea nui mo DANE, he raruraru punaha kei roto i te DNSSEC.
Ki te kore e tika te whirihora i te DNSSEC, ka raru pea te tuku mēra mena ka tautoko te taha tuku ki a DANE, ahakoa karekau te taha e whiwhi ana i te mohio. No reira, ahakoa ko te DANE he paerewa tawhito me te haumaru ake, kua tautokohia i roto i etahi raupaparorohiko tūmau i te taha o te kaituku, me te mea kei te noho iti tonu tana urunga, he maha nga whakahaere kaore i te rite ki te whakatinana na te hiahia ki te whakatinana DNSSEC, na tenei i tino whakapoipoi i te whakatinanatanga o DANE i nga tau katoa e noho ana te paerewa.
Karekau a DANE me MTA-STS e taupatupatu tetahi ki tetahi ka taea te whakamahi tahi.
He aha te tautoko a MTA-STS i Mail.ru Mail?
Kua roa a Mail.ru e whakaputa kaupapa here MTA-STS mo nga rohe nui katoa. I tenei wa kei te whakatinanahia e matou te waahanga kiritaki o te paerewa. I te wa e tuhi ana, ka whakamahia nga kaupapa here i roto i te aratau kore-aukati (mehemea ka aukatihia te tuku e te kaupapa here, ka tukuna te reta ma te "whakarere" me te kore e tono kaupapa here), katahi ka pehia te aratau aukati mo tetahi waahanga iti. o nga hokohoko SMTP puta, ka haere mo te 100% o nga waka ka tautokohia te Whakamana i nga kaupapa here.
Ko wai atu e tautoko ana i te paerewa?
I tenei wa, ko nga kaupapa here a MTA-STS e whakaputa ana i te 0.05% o nga waahi kaha, engari, ahakoa, kua tiakina e ratou te nui o te hokohoko mēra, na te mea Ko te paerewa e tautokohia ana e nga kaitakaro nui - Google, Comcast me tetahi waahanga Verizon (AOL, Yahoo). He maha atu nga ratonga poutapeta kua panui ka whakatinanahia te tautoko mo te paerewa i nga wa e heke mai nei.
Ka pehea te paanga o tenei ki ahau?
Mena ka whakaputahia e to rohe he kaupapa here MTA-STS. Mena ka whakaputahia e koe te kaupapa here, ka pai ake te tiaki i nga imeera mo nga kaiwhakamahi o to kaimau mēra mai i te haukoti.
Me pehea taku whakatinana i te MTA-STS?
Tautoko MTA-STS i te taha kaiwhiwhi
He nui noa ki te whakaputa i te kaupapa here ma te HTTPS me nga rekoata ki DNS, whirihorahia he tiwhikete whaimana mai i tetahi o nga CA whakawhirinaki (Ka taea te whakamuna) mo STARTTLS i te MTA (Kei te tautokohia a STARTTLS i nga MTA hou katoa), kaore he tautoko motuhake mai i te Kei te hiahiatia a MTA.
Ma te taahiraa, ka penei te ahua:
- Whirihorahia nga STARTTLS ki te MTA e whakamahia ana e koe (postfix, exim, sendmail, Microsoft Exchange, etc.).
- Me mohio kei te whakamahi koe i tetahi tiwhikete whaimana (i tukuna e te CA whakawhirinaki, kaore i pau, ko te kaupapa o te tiwhikete e rite ana ki te rekoata MX e tuku mēra ana mo to rohe).
- Whirihorahia he rekoata TLS-RPT e tukuna ai nga ripoata tono kaupapa here (ma nga ratonga e tautoko ana i te tuku purongo TLS). Tauira urunga (mo te rohe example.com):
smtp._tls.example.com. 300 IN TXT «v=TLSRPTv1;rua=mailto:[email protected]»Ka tohutohu tenei urunga ki nga kaituku mēra ki te tuku ripoata tatauranga mo te whakamahi TLS i SMTP ki
[email protected].Aroturuki i nga purongo mo etahi ra kia mohio kaore he hapa.
- Whakaputahia te kaupapa here MTA-STS ki runga HTTPS. Ka whakaputahia te kaupapa here hei konae tuhinga me nga kaiwhakamutu raina CRLF ma te waahi.
https://mta-sts.example.com/.well-known/mta-sts.txttauira kaupapa here:
version: STSv1 mode: enforce mx: mxs.mail.ru mx: emx.mail.ru mx: mx2.corp.mail.ru max_age: 86400Kei roto i te mara putanga te putanga o te kaupapa here (i tenei wa
STSv1), Ka whakatakotohia e te Aratau te aratau tono kaupapa here, te whakamatautau - te aratau whakamatautau (kaore te kaupapa here i te tono), te whakakaha - te aratau "whawhai". Tuatahi te whakaputa i te kaupapa here me te aratau: te whakamatautau, ki te kore he raruraru ki te kaupapa here i roto i te aratau whakamatautau, i muri i etahi wa ka taea e koe te huri ki te aratau: uruhi.I roto i te mx, ka tohua he rarangi o nga tūmau mēra katoa ka taea te whakaae ki te mēra mo to rohe (me whai tiwhikete ia tūmau kia rite ki te ingoa kua tohua ki te mx). Ko te Max_age e whakaatu ana i te wa keteroki o te kaupapa here (i te wa ka whakamahia te kaupapa here e maumahara ana ahakoa ka aukatihia e te kaitukino tana tuku, ka kino ranei nga rekoata DNS i te wa o te keteroki, ka taea e koe te tohu me tono ano te kaupapa here ma te huri i te mta-sts DNS. record).
- Whakaputahia he rekoata TXT ki DNS:
_mta-sts.example.com. TXT “v=STS1; id=someid;”Ka taea te whakamahi i te tohu tohu (hei tauira, te waitohu wa) ki te mara id; ka huri te kaupapa here, me huri, ka mohio nga kaituku me tono ano ratou i te kaupapa here keteroki (mehemea he rereke te kaitautuhi mai i te tetahi keteroki).
Tautoko MTA-STS i te taha kaituku
I tenei wa he kino ki a ia, na te mea ... paerewa hou.
- Exim - karekau he tautoko i hangaia, kei reira he tuhinga tuatoru
- Postfix - karekau he tautoko i roto, he tuhinga tuatoru-tuatoru e whakaahuahia ana i runga i te Habré
Hei kupu muri mo te "TLS whakahau"
I enei wa, kua aro mai nga kaiwhakahaere ki te haumarutanga imeera (he mea pai tena). Hei tauira, he whakahau a DMARC mo nga tari kawanatanga katoa i te United States, me te nui haere o te hiahia i roto i te waahanga putea, me te urunga o te paerewa ka eke ki te 90% ki nga waahi kua whakaritea. Inaianei kei te hiahia etahi o nga kaiwhakahaere ki te whakatinana i te "TLS mana" me nga rohe takitahi, engari ko te tikanga mo te whakarite "TLS whakahauanga" kaore i te tautuhia, a, i roto i nga mahi, ka whakamahia tenei waahanga i runga i te huarahi kaore i te iti rawa te whakamarumaru ki nga whakaeke tuturu kua oti kee. ka whakaratohia i roto i nga tikanga penei i te DANE, MTA-STS ranei.
Mena ka hiahia te kaiwhakahaere ki te whakatinanatanga o te "TLS mana" me nga rohe motuhake, ka tūtohu kia whakaarohia te MTA-STS, ko tana waahanga waahanga ranei te tikanga tino pai, ka whakakorehia te hiahia ki te hanga i nga tautuhinga haumaru mo ia rohe motuhake. Mēnā he uaua ki a koe te whakatinana i te wāhanga kiritaki o MTA-STS (tae noa ki te whiwhi tautoko whanui te kawa, ka taea e ratou), ka taea e matou te taunaki i tenei huarahi:
- Whakaputahia he kaupapa here MTA-STS me/ranei nga rekooti DANE (he whai tikanga a DANE mena kua whakahohea kee te DNSSEC mo to rohe, me te MTA-STS ahakoa he aha te take), ma tenei ka tiaki i nga waka ki to huarahi me te whakakore i te hiahia ki te patai ki etahi atu ratonga mēra. ki te whirihora i te TLS whakahau mo to rohe mena kei te tautoko te ratonga mēra MTA-STS me/ranei DANE.
- Mo nga ratonga imeera nui, whakatinanahia he "whakariterite" o MTA-STS ma roto i nga tautuhinga kawe waka motuhake mo ia rohe, ka whakatika i te MX e whakamahia ana mo te tuku mēra me te hiahia kia whakamanahia he tiwhikete TLS mo taua mea. Mena kua whakaputahia e nga rohe he kaupapa here MTA-STS, ka taea te mahi ma te mamae. Ko ia anake, ko te whakaahei i te TLS whakahau mo tetahi rohe me te kore e whakatika i te rei me te manatoko i te tiwhikete mo te kore e whai hua mai i te tirohanga haumaru, kaore hoki he taapiri ki nga tikanga STARTTLS o naianei.
Source: will.com