ചുരുക്കത്തിൽ, മെയിൽ സെർവറുകൾക്കിടയിൽ ട്രാൻസ്മിറ്റ് ചെയ്യുമ്പോൾ ഇമെയിലുകളെ തടസ്സപ്പെടുത്തുന്നതിൽ നിന്ന് കൂടുതൽ പരിരക്ഷിക്കുന്നതിനുള്ള ഒരു മാർഗമാണ് MTA-STS. ഇത് ഇമെയിൽ പ്രോട്ടോക്കോളുകളുടെ ലെഗസി ആർക്കിടെക്ചറൽ പ്രശ്നങ്ങൾ ഭാഗികമായി പരിഹരിക്കുന്നു, താരതമ്യേന സമീപകാല സ്റ്റാൻഡേർഡ് RFC 8461-ൽ വിവരിച്ചിരിക്കുന്നു. ഈ സ്റ്റാൻഡേർഡ് നടപ്പിലാക്കുന്ന RuNet-ലെ ആദ്യത്തെ പ്രധാന മെയിൽ സേവനമാണ് Mail.ru. കട്ടിന് കീഴിൽ ഇത് കൂടുതൽ വിശദമായി വിവരിച്ചിരിക്കുന്നു.

MTA-STS എന്ത് പ്രശ്‌നമാണ് പരിഹരിക്കുന്നത്?

ചരിത്രപരമായി, ഇമെയിൽ പ്രോട്ടോക്കോളുകൾ (SMTP, POP3, IMAP) വ്യക്തമായ വാചകത്തിൽ വിവരങ്ങൾ കൈമാറി, അത് തടസ്സപ്പെടുത്തുന്നത് സാധ്യമാക്കി, ഉദാഹരണത്തിന്, ഒരു ആശയവിനിമയ ചാനൽ ആക്സസ് ചെയ്യുമ്പോൾ.

ഒരു ഉപയോക്താവിൽ നിന്ന് മറ്റൊരാളിലേക്ക് ഒരു കത്ത് കൈമാറുന്നതിനുള്ള സംവിധാനം എങ്ങനെയിരിക്കും:

ചരിത്രപരമായി, മെയിൽ പ്രചരിക്കുന്ന എല്ലാ സ്ഥലങ്ങളിലും ഒരു MitM ആക്രമണം സാധ്യമായിരുന്നു.

RFC 8314-ന് മെയിൽ യൂസർ ആപ്ലിക്കേഷനും (MUA) മെയിൽ സെർവറും തമ്മിൽ TLS ഉപയോഗിക്കേണ്ടതുണ്ട്. നിങ്ങളുടെ സെർവറും നിങ്ങൾ ഉപയോഗിക്കുന്ന മെയിൽ ആപ്ലിക്കേഷനുകളും RFC 8314-ന് അനുസൃതമാണെങ്കിൽ, ഉപയോക്താവിനും മെയിൽ സെർവറുകൾക്കുമിടയിൽ മാൻ-ഇൻ-ദി-മിഡിൽ ആക്രമണങ്ങളുടെ സാധ്യത നിങ്ങൾ (കൂടുതൽ) ഇല്ലാതാക്കി.

പൊതുവായി അംഗീകരിക്കപ്പെട്ട സമ്പ്രദായങ്ങൾ പിന്തുടരുന്നത് (RFC 8314 നിലവാരമുള്ളത്) ഉപയോക്താവിന് സമീപമുള്ള ആക്രമണം ഇല്ലാതാക്കുന്നു:

സ്റ്റാൻഡേർഡ് സ്വീകരിക്കുന്നതിന് മുമ്പുതന്നെ Mail.ru മെയിൽ സെർവറുകൾ RFC 8314-ന് അനുസരിച്ചിരുന്നു; വാസ്തവത്തിൽ, ഇത് ഇതിനകം അംഗീകരിച്ചിട്ടുള്ള സമ്പ്രദായങ്ങൾ ക്യാപ്‌ചർ ചെയ്യുന്നു, മാത്രമല്ല ഞങ്ങൾക്ക് അധികമായി ഒന്നും കോൺഫിഗർ ചെയ്യേണ്ടതില്ല. പക്ഷേ, നിങ്ങളുടെ മെയിൽ സെർവർ ഇപ്പോഴും സുരക്ഷിതമല്ലാത്ത പ്രോട്ടോക്കോളുകൾ ഉപയോഗിച്ച് ഉപയോക്താക്കളെ അനുവദിക്കുകയാണെങ്കിൽ, ഈ മാനദണ്ഡത്തിന്റെ ശുപാർശകൾ നടപ്പിലാക്കുന്നത് ഉറപ്പാക്കുക, കാരണം മിക്കവാറും, നിങ്ങളുടെ ചില ഉപയോക്താക്കളെങ്കിലും എൻക്രിപ്ഷൻ ഇല്ലാതെ മെയിലിൽ പ്രവർത്തിക്കുന്നു, നിങ്ങൾ അതിനെ പിന്തുണച്ചാലും.

മെയിൽ ക്ലയന്റ് എല്ലായ്പ്പോഴും ഒരേ സ്ഥാപനത്തിന്റെ ഒരേ മെയിൽ സെർവറിലാണ് പ്രവർത്തിക്കുന്നത്. നിങ്ങൾക്ക് എല്ലാ ഉപയോക്താക്കളെയും സുരക്ഷിതമായ രീതിയിൽ ബന്ധിപ്പിക്കാൻ നിർബന്ധിക്കാവുന്നതാണ്, തുടർന്ന് സുരക്ഷിതമല്ലാത്ത ഉപയോക്താക്കൾക്ക് കണക്റ്റുചെയ്യുന്നത് സാങ്കേതികമായി അസാധ്യമാക്കാം (ഇതാണ് RFC 8314 ആവശ്യപ്പെടുന്നത്). ഇത് ചിലപ്പോൾ ബുദ്ധിമുട്ടാണ്, പക്ഷേ ചെയ്യാൻ കഴിയും. മെയിൽ സെർവറുകൾ തമ്മിലുള്ള ഗതാഗതം ഇപ്പോഴും കൂടുതൽ സങ്കീർണ്ണമാണ്. സെർവറുകൾ വ്യത്യസ്‌ത ഓർഗനൈസേഷനുകളിൽ പെട്ടവയാണ്, അവ പലപ്പോഴും “സെറ്റ് ആന്റ് മറക്കുക” മോഡിൽ ഉപയോഗിക്കുന്നു, ഇത് കണക്റ്റിവിറ്റി തകർക്കാതെ ഒരേസമയം സുരക്ഷിതമായ പ്രോട്ടോക്കോളിലേക്ക് മാറുന്നത് അസാധ്യമാക്കുന്നു. SMTP വളരെക്കാലമായി STARTTLS വിപുലീകരണം നൽകിയിട്ടുണ്ട്, ഇത് എൻക്രിപ്ഷനെ പിന്തുണയ്ക്കുന്ന സെർവറുകൾ TLS-ലേക്ക് മാറാൻ അനുവദിക്കുന്നു. എന്നാൽ ട്രാഫിക്കിനെ സ്വാധീനിക്കാൻ കഴിവുള്ള ഒരു ആക്രമണകാരിക്ക് ഈ കമാൻഡിനുള്ള പിന്തുണയെക്കുറിച്ചുള്ള വിവരങ്ങൾ "കട്ട് ഔട്ട്" ചെയ്യാനും പ്ലെയിൻ ടെക്സ്റ്റ് പ്രോട്ടോക്കോൾ (ഡൗൺഗ്രേഡ് ആക്രമണം എന്ന് വിളിക്കപ്പെടുന്ന) ഉപയോഗിച്ച് ആശയവിനിമയം നടത്താൻ സെർവറുകളെ നിർബന്ധിക്കാനും കഴിയും. അതേ കാരണത്താൽ, STARTTLS സാധാരണയായി സർട്ടിഫിക്കറ്റിന്റെ സാധുത പരിശോധിക്കില്ല (ഒരു വിശ്വസനീയമല്ലാത്ത സർട്ടിഫിക്കറ്റിന് നിഷ്ക്രിയമായ ആക്രമണങ്ങളിൽ നിന്ന് പരിരക്ഷിക്കാൻ കഴിയും, കൂടാതെ ഇത് വ്യക്തമായ ടെക്സ്റ്റിൽ ഒരു സന്ദേശം അയയ്ക്കുന്നതിനേക്കാൾ മോശമല്ല). അതിനാൽ, STARTTLS നിഷ്‌ക്രിയമായ ചോർച്ചയിൽ നിന്ന് മാത്രമേ സംരക്ഷിക്കൂ.

ആക്രമണകാരിക്ക് ട്രാഫിക്കിനെ സജീവമായി സ്വാധീനിക്കാനുള്ള കഴിവുള്ളപ്പോൾ, മെയിൽ സെർവറുകൾക്കിടയിൽ അക്ഷരങ്ങൾ തടസ്സപ്പെടുത്തുന്നതിനുള്ള പ്രശ്നം MTA-STS ഭാഗികമായി ഇല്ലാതാക്കുന്നു. സ്വീകർത്താവിന്റെ ഡൊമെയ്‌ൻ ഒരു MTA-STS നയം പ്രസിദ്ധീകരിക്കുകയും അയച്ചയാളുടെ സെർവർ MTA-STS-നെ പിന്തുണയ്‌ക്കുകയും ചെയ്യുന്നുവെങ്കിൽ, അത് ഒരു TLS കണക്ഷനിലൂടെ മാത്രമേ ഇമെയിൽ അയയ്‌ക്കൂ, നയം നിർവചിച്ചിരിക്കുന്ന സെർവറുകളിലേക്ക് മാത്രം, സെർവറിന്റെ സർട്ടിഫിക്കറ്റ് പരിശോധിച്ച് മാത്രം.

എന്തുകൊണ്ട് ഭാഗികമായി? ഈ മാനദണ്ഡം നടപ്പിലാക്കാൻ രണ്ട് കക്ഷികളും ശ്രദ്ധിച്ചാൽ മാത്രമേ MTA-STS പ്രവർത്തിക്കൂ, കൂടാതെ ഒരു ആക്രമണകാരിക്ക് പൊതു CA-കളിൽ നിന്ന് സാധുതയുള്ള ഒരു ഡൊമെയ്ൻ സർട്ടിഫിക്കറ്റ് നേടാൻ കഴിയുന്ന സാഹചര്യങ്ങളിൽ നിന്ന് MTA-STS പരിരക്ഷിക്കുന്നില്ല.

MTA-STS എങ്ങനെ പ്രവർത്തിക്കുന്നു

സ്വീകർത്താവ്

1. മെയിൽ സെർവറിൽ സാധുവായ ഒരു സർട്ടിഫിക്കറ്റ് ഉപയോഗിച്ച് STARTTLS പിന്തുണ കോൺഫിഗർ ചെയ്യുന്നു. 
2. HTTPS വഴി MTA-STS നയം പ്രസിദ്ധീകരിക്കുന്നു; ഒരു പ്രത്യേക mta-sts ഡൊമെയ്‌നും ഒരു പ്രത്യേക അറിയപ്പെടുന്ന പാതയും പ്രസിദ്ധീകരണത്തിനായി ഉപയോഗിക്കുന്നു, ഉദാഹരണത്തിന് https://mta-sts.mail.ru/.well-known/mta-sts.txt. ഈ ഡൊമെയ്‌നിനായി മെയിൽ സ്വീകരിക്കാനുള്ള അവകാശമുള്ള മെയിൽ സെർവറുകളുടെ (mx) ഒരു ലിസ്റ്റ് നയത്തിൽ അടങ്ങിയിരിക്കുന്നു.
3. നയ പതിപ്പിനൊപ്പം DNS-ൽ ഒരു പ്രത്യേക TXT റെക്കോർഡ് _mta-sts പ്രസിദ്ധീകരിക്കുന്നു. നയം മാറുമ്പോൾ, ഈ എൻട്രി അപ്‌ഡേറ്റ് ചെയ്യണം (നയം വീണ്ടും അന്വേഷിക്കാൻ ഇത് അയച്ചയാളെ സൂചിപ്പിക്കുന്നു). ഉദാഹരണത്തിന്, _mta-sts.mail.ru. TXT "v=STSv1; id=20200303T120000;"

അയച്ചയാൾ

അയച്ചയാൾ _mta-sts DNS റെക്കോർഡ് അഭ്യർത്ഥിക്കുന്നു, അത് ലഭ്യമാണെങ്കിൽ, HTTPS വഴി ഒരു നയ അഭ്യർത്ഥന നടത്തുന്നു (സർട്ടിഫിക്കറ്റ് പരിശോധിക്കുന്നു). തത്ഫലമായുണ്ടാകുന്ന നയം കാഷെ ചെയ്‌തിരിക്കുന്നു (ഒരു ആക്രമണകാരി അതിലേക്കുള്ള ആക്‌സസ് തടയുകയോ DNS റെക്കോർഡ് കബളിപ്പിക്കുകയോ ചെയ്‌താൽ).

മെയിൽ അയയ്ക്കുമ്പോൾ, അത് പരിശോധിക്കുന്നു:

• മെയിൽ ഡെലിവർ ചെയ്യുന്ന സെർവർ പോളിസിയിലുണ്ട്;
• സെർവർ TLS (STARTTLS) ഉപയോഗിച്ച് മെയിൽ സ്വീകരിക്കുന്നു കൂടാതെ സാധുവായ ഒരു സർട്ടിഫിക്കറ്റും ഉണ്ട്.

MTA-STS ന്റെ പ്രയോജനങ്ങൾ

മിക്ക ഓർഗനൈസേഷനുകളിലും (SMTP+STARTTLS, HTTPS, DNS) ഇതിനകം നടപ്പിലാക്കിയിട്ടുള്ള സാങ്കേതികവിദ്യകൾ MTA-STS ഉപയോഗിക്കുന്നു. സ്വീകർത്താവിന്റെ ഭാഗത്ത് നടപ്പിലാക്കുന്നതിന്, സ്റ്റാൻഡേർഡിന് പ്രത്യേക സോഫ്റ്റ്വെയർ പിന്തുണ ആവശ്യമില്ല.

MTA-STS ന്റെ ദോഷങ്ങൾ

വെബ്, മെയിൽ സെർവർ സർട്ടിഫിക്കറ്റിന്റെ സാധുത, പേരുകളുടെ കത്തിടപാടുകൾ, സമയബന്ധിതമായ പുതുക്കൽ എന്നിവ നിരീക്ഷിക്കേണ്ടത് ആവശ്യമാണ്. സർട്ടിഫിക്കറ്റിലെ പ്രശ്‌നങ്ങൾ മെയിൽ ഡെലിവർ ചെയ്യാൻ കഴിയാതെ വരും.

അയച്ചയാളുടെ ഭാഗത്ത്, MTA-STS നയങ്ങൾക്കുള്ള പിന്തുണയുള്ള ഒരു MTA ആവശ്യമാണ്; നിലവിൽ, MTA-യിൽ MTA-STS-നെ പിന്തുണയ്‌ക്കുന്നില്ല.

MTA-STS വിശ്വസനീയമായ റൂട്ട് CA-കളുടെ ഒരു ലിസ്റ്റ് ഉപയോഗിക്കുന്നു.

ആക്രമണകാരി സാധുവായ സർട്ടിഫിക്കറ്റ് ഉപയോഗിക്കുന്ന ആക്രമണങ്ങളിൽ നിന്ന് MTA-STS പരിരക്ഷിക്കുന്നില്ല. മിക്ക കേസുകളിലും, സെർവറിനടുത്തുള്ള MitM ഒരു സർട്ടിഫിക്കറ്റ് നൽകാനുള്ള കഴിവിനെ സൂചിപ്പിക്കുന്നു. സർട്ടിഫിക്കറ്റ് സുതാര്യത ഉപയോഗിച്ച് ഇത്തരം ആക്രമണം കണ്ടെത്താനാകും. അതിനാൽ, പൊതുവേ, MTA-STS ലഘൂകരിക്കുന്നു, പക്ഷേ പൂർണ്ണമായും ഒഴിവാക്കുന്നില്ല, ട്രാഫിക് തടസ്സപ്പെടുത്താനുള്ള സാധ്യത.

അവസാന രണ്ട് പോയിന്റുകൾ MTA-STS-നെ SMTP (RFC 7672) എന്നതിനായുള്ള മത്സരിക്കുന്ന DANE സ്റ്റാൻഡേർഡിനേക്കാൾ സുരക്ഷിതമാക്കുന്നു, എന്നാൽ സാങ്കേതികമായി കൂടുതൽ വിശ്വസനീയമാണ്, അതായത്. എം‌ടി‌എ-എസ്‌ടി‌എസിന് സ്റ്റാൻഡേർഡ് നടപ്പിലാക്കുന്നത് മൂലമുണ്ടാകുന്ന സാങ്കേതിക പ്രശ്‌നങ്ങൾ കാരണം കത്ത് ഡെലിവർ ചെയ്യപ്പെടാതിരിക്കാനുള്ള സാധ്യത കുറവാണ്.

മത്സരിക്കുന്ന നിലവാരം - DANE

സർട്ടിഫിക്കറ്റ് വിവരങ്ങൾ പ്രസിദ്ധീകരിക്കാൻ DANE DNSSEC ഉപയോഗിക്കുന്നു, കൂടാതെ ബാഹ്യ സർട്ടിഫിക്കറ്റ് അധികാരികളിൽ വിശ്വാസം ആവശ്യമില്ല, അത് കൂടുതൽ സുരക്ഷിതമാണ്. എന്നാൽ ഡിഎൻഎസ്എസ്ഇസിയുടെ ഉപയോഗം, നിരവധി വർഷത്തെ ഉപയോഗത്തിലെ സ്ഥിതിവിവരക്കണക്കുകളെ അടിസ്ഥാനമാക്കി സാങ്കേതിക പരാജയങ്ങളിലേക്ക് നയിക്കുന്നു (ഡിഎൻഎസ്എസ്ഇസിയുടെ വിശ്വാസ്യതയിലും അതിന്റെ സാങ്കേതിക പിന്തുണയിലും പൊതുവെ നല്ല പ്രവണതയുണ്ടെങ്കിലും). സ്വീകർത്താവിന്റെ ഭാഗത്ത് SMTP-യിൽ DANE നടപ്പിലാക്കാൻ, DNS സോണിനുള്ള DNSSEC-ന്റെ സാന്നിധ്യം നിർബന്ധമാണ്, DNSSEC-ൽ വ്യവസ്ഥാപരമായ പ്രശ്നങ്ങളുള്ള DANE-ന് NSEC/NSEC3-നുള്ള ശരിയായ പിന്തുണ അത്യാവശ്യമാണ്.

DNSSEC ശരിയായി ക്രമീകരിച്ചിട്ടില്ലെങ്കിൽ, അയയ്ക്കുന്ന വശം DANE-നെ പിന്തുണയ്ക്കുന്നുവെങ്കിൽ, സ്വീകരിക്കുന്ന വശത്തിന് അതിനെക്കുറിച്ച് ഒന്നും അറിയില്ലെങ്കിലും, അത് മെയിൽ ഡെലിവറി പരാജയങ്ങൾക്ക് കാരണമാകും. അതിനാൽ, DANE പഴയതും കൂടുതൽ സുരക്ഷിതവുമായ ഒരു സ്റ്റാൻഡേർഡ് ആണെങ്കിലും, അയച്ചയാളുടെ ഭാഗത്തുള്ള ചില സെർവർ സോഫ്‌റ്റ്‌വെയറിൽ ഇതിനകം പിന്തുണയ്‌ക്കുന്നുണ്ടെങ്കിലും, വാസ്തവത്തിൽ അതിന്റെ നുഴഞ്ഞുകയറ്റം നിസ്സാരമായി തുടരുന്നു, DNSSEC നടപ്പിലാക്കേണ്ടതിന്റെ ആവശ്യകത കാരണം പല ഓർഗനൈസേഷനുകളും ഇത് നടപ്പിലാക്കാൻ തയ്യാറല്ല. സ്റ്റാൻഡേർഡ് നിലവിലുണ്ടായിരുന്ന എല്ലാ വർഷങ്ങളിലും ഇത് DANE നടപ്പിലാക്കുന്നത് ഗണ്യമായി മന്ദഗതിയിലാക്കി.

DANE, MTA-STS എന്നിവ പരസ്‌പരം വൈരുദ്ധ്യമില്ലാത്തതിനാൽ ഒരുമിച്ച് ഉപയോഗിക്കാം.

Mail.ru മെയിലിൽ MTA-STS പിന്തുണയിൽ എന്താണ് ഉള്ളത്?

Mail.ru എല്ലാ പ്രധാന ഡൊമെയ്‌നുകൾക്കുമായി ഒരു MTA-STS നയം കുറച്ച് കാലമായി പ്രസിദ്ധീകരിക്കുന്നു. ഞങ്ങൾ നിലവിൽ സ്റ്റാൻഡേർഡിന്റെ ക്ലയന്റ് ഭാഗം നടപ്പിലാക്കുകയാണ്. എഴുതുന്ന സമയത്ത്, പോളിസികൾ നോൺ-ബ്ലോക്കിംഗ് മോഡിൽ പ്രയോഗിക്കുന്നു (ഒരു പോളിസി വഴി ഡെലിവറി തടഞ്ഞാൽ, പോളിസികൾ പ്രയോഗിക്കാതെ ഒരു "സ്പെയർ" സെർവർ മുഖേന കത്ത് ഡെലിവർ ചെയ്യും), തുടർന്ന് ഒരു ചെറിയ ഭാഗത്തേക്ക് തടയൽ മോഡ് നിർബന്ധിതമാകും. ഔട്ട്‌ഗോയിംഗ് SMTP ട്രാഫിക്കിൽ, ക്രമേണ 100% ട്രാഫിക്കിന് ഇത് നയങ്ങൾ നടപ്പിലാക്കുന്നത് പിന്തുണയ്‌ക്കുന്നു.

സ്റ്റാൻഡേർഡിനെ മറ്റാരാണ് പിന്തുണയ്ക്കുന്നത്?

ഇതുവരെ, MTA-STS പോളിസികൾ ഏകദേശം 0.05% സജീവ ഡൊമെയ്‌നുകൾ പ്രസിദ്ധീകരിക്കുന്നു, എന്നിരുന്നാലും, അവ ഇതിനകം തന്നെ ഒരു വലിയ മെയിൽ ട്രാഫിക്കിനെ സംരക്ഷിക്കുന്നു, കാരണം സ്റ്റാൻഡേർഡിനെ പ്രധാന കളിക്കാർ പിന്തുണയ്ക്കുന്നു - Google, Comcast, ഭാഗികമായി Verizon (AOL, Yahoo). മറ്റ് പല തപാൽ സേവനങ്ങളും നിലവാരത്തിനായുള്ള പിന്തുണ സമീപഭാവിയിൽ നടപ്പിലാക്കുമെന്ന് പ്രഖ്യാപിച്ചു.

ഇത് എന്നെ എങ്ങനെ ബാധിക്കും?

നിങ്ങളുടെ ഡൊമെയ്ൻ ഒരു MTA-STS നയം പ്രസിദ്ധീകരിക്കുന്നില്ലെങ്കിൽ. നിങ്ങൾ നയം പ്രസിദ്ധീകരിക്കുകയാണെങ്കിൽ, നിങ്ങളുടെ മെയിൽ സെർവറിന്റെ ഉപയോക്താക്കൾക്കുള്ള ഇമെയിലുകൾ തടസ്സങ്ങളിൽ നിന്ന് മികച്ച രീതിയിൽ സംരക്ഷിക്കപ്പെടും.

ഞാൻ എങ്ങനെ MTA-STS നടപ്പിലാക്കും?

സ്വീകർത്താവിന്റെ ഭാഗത്ത് MTA-STS പിന്തുണ

HTTPS മുഖേന നയം പ്രസിദ്ധീകരിക്കുകയും DNS-ൽ റെക്കോർഡുകൾ നൽകുകയും, MTA-യിലെ STARTTLS-നായി (എല്ലാ ആധുനിക MTA-കളിലും STARTTLS-നെ പിന്തുണയ്ക്കുകയും ചെയ്യുന്നു), വിശ്വസനീയമായ CA-കളിൽ ഒന്നിൽ നിന്നുള്ള സാധുതയുള്ള സർട്ടിഫിക്കറ്റ് കോൺഫിഗർ ചെയ്‌താൽ മതി (എല്ലാ ആധുനിക MTA-കളിലും STARTTLS പിന്തുണയ്ക്കുന്നു). MTA ആവശ്യമാണ്.

ഘട്ടം ഘട്ടമായി, ഇത് ഇതുപോലെ കാണപ്പെടുന്നു:

1. നിങ്ങൾ ഉപയോഗിക്കുന്ന MTA-യിൽ STARTTLS കോൺഫിഗർ ചെയ്യുക (postfix, exim, sendmail, Microsoft Exchange മുതലായവ).
2. നിങ്ങൾ സാധുവായ ഒരു സർട്ടിഫിക്കറ്റാണ് ഉപയോഗിക്കുന്നതെന്ന് ഉറപ്പാക്കുക (ഒരു വിശ്വസനീയ CA നൽകിയത്, കാലഹരണപ്പെട്ടതല്ല, സർട്ടിഫിക്കറ്റിന്റെ വിഷയം നിങ്ങളുടെ ഡൊമെയ്‌നിനായി മെയിൽ നൽകുന്ന MX റെക്കോർഡുമായി പൊരുത്തപ്പെടുന്നു).
3. പോളിസി ആപ്ലിക്കേഷൻ റിപ്പോർട്ടുകൾ ഡെലിവർ ചെയ്യുന്ന ഒരു TLS-RPT റെക്കോർഡ് കോൺഫിഗർ ചെയ്യുക (TLS റിപ്പോർട്ടുകൾ അയയ്ക്കുന്നതിനെ പിന്തുണയ്ക്കുന്ന സേവനങ്ങൾ വഴി). ഉദാഹരണ എൻട്രി (example.com ഡൊമെയ്‌നിന്):

   smtp._tls.example.com. 300 IN TXT «v=TLSRPTv1;rua=mailto:[email protected]»

   എസ്‌എം‌ടി‌പിയിലെ ടി‌എൽ‌എസ് ഉപയോഗത്തെക്കുറിച്ചുള്ള സ്റ്റാറ്റിസ്റ്റിക്കൽ റിപ്പോർട്ടുകൾ അയയ്‌ക്കാൻ ഈ എൻ‌ട്രി മെയിൽ അയയ്‌ക്കുന്നവരോട് നിർദ്ദേശിക്കുന്നു [email protected].

   പിശകുകളൊന്നുമില്ലെന്ന് ഉറപ്പാക്കാൻ നിരവധി ദിവസത്തേക്ക് റിപ്പോർട്ടുകൾ നിരീക്ഷിക്കുക.

4. HTTPS വഴി MTA-STS നയം പ്രസിദ്ധീകരിക്കുക. ലൊക്കേഷൻ അനുസരിച്ച് CRLF ലൈൻ ടെർമിനേറ്ററുകളുള്ള ഒരു ടെക്‌സ്‌റ്റ് ഫയലായി നയം പ്രസിദ്ധീകരിക്കുന്നു.

   https://mta-sts.example.com/.well-known/mta-sts.txt
   

   ഉദാഹരണ നയം:

   version: STSv1
   mode: enforce
   mx: mxs.mail.ru
   mx: emx.mail.ru
   mx: mx2.corp.mail.ru
   max_age: 86400
   

   പതിപ്പ് ഫീൽഡിൽ നയത്തിന്റെ പതിപ്പ് അടങ്ങിയിരിക്കുന്നു (നിലവിൽ STSv1), മോഡ് പോളിസി ആപ്ലിക്കേഷൻ മോഡ് സജ്ജീകരിക്കുന്നു, ടെസ്റ്റിംഗ് — ടെസ്റ്റിംഗ് മോഡ് (നയം ബാധകമല്ല), എൻഫോഴ്സ് — “കോംബാറ്റ്” മോഡ്. ആദ്യം നയം മോഡ് ഉപയോഗിച്ച് പ്രസിദ്ധീകരിക്കുക: ടെസ്റ്റിംഗ്, ടെസ്റ്റ് മോഡിൽ പോളിസിയിൽ പ്രശ്‌നങ്ങളൊന്നുമില്ലെങ്കിൽ, കുറച്ച് സമയത്തിന് ശേഷം നിങ്ങൾക്ക് മോഡിലേക്ക് മാറാം: നടപ്പിലാക്കുക.

   mx-ൽ, നിങ്ങളുടെ ഡൊമെയ്‌നിനായി മെയിൽ സ്വീകരിക്കാൻ കഴിയുന്ന എല്ലാ മെയിൽ സെർവറുകളുടെയും ഒരു ലിസ്റ്റ് വ്യക്തമാക്കിയിട്ടുണ്ട് (ഓരോ സെർവറിനും mx-ൽ വ്യക്തമാക്കിയിരിക്കുന്ന പേരുമായി പൊരുത്തപ്പെടുന്ന ഒരു സർട്ടിഫിക്കറ്റ് കോൺഫിഗർ ചെയ്തിരിക്കണം). Max_age പോളിസിയുടെ കാഷിംഗ് സമയം വ്യക്തമാക്കുന്നു (ഒരിക്കൽ, ആക്രമണകാരി അതിന്റെ ഡെലിവറി തടയുകയോ അല്ലെങ്കിൽ ഡിഎൻഎസ് റെക്കോർഡുകൾ കേടുവരുത്തുകയോ ചെയ്താൽ പോലും, ഓർമ്മിക്കുന്ന നയം ബാധകമാകും, mta-sts DNS മാറ്റിക്കൊണ്ട് നിങ്ങൾക്ക് പോളിസി വീണ്ടും അഭ്യർത്ഥിക്കേണ്ടതിന്റെ ആവശ്യകത സൂചിപ്പിക്കാൻ കഴിയും. റെക്കോർഡ്).

5. DNS-ൽ ഒരു TXT റെക്കോർഡ് പ്രസിദ്ധീകരിക്കുക: 

   _mta-sts.example.com. TXT “v=STS1; id=someid;”
   

   ഐഡി ഫീൽഡിൽ ഒരു അനിയന്ത്രിതമായ ഐഡന്റിഫയർ (ഉദാഹരണത്തിന്, ഒരു ടൈംസ്റ്റാമ്പ്) ഉപയോഗിക്കാം; നയം മാറുമ്പോൾ, അത് മാറണം, കാഷെ ചെയ്ത നയം (ഐഡന്റിഫയർ വ്യത്യസ്തമാണെങ്കിൽ) വീണ്ടും അഭ്യർത്ഥിക്കണമെന്ന് അയക്കുന്നവരെ മനസ്സിലാക്കാൻ ഇത് അനുവദിക്കുന്നു. കാഷെ ചെയ്ത ഒന്ന്).

അയച്ചയാളുടെ ഭാഗത്ത് MTA-STS പിന്തുണ

ഇതുവരെ അവളോട് മോശമാണ്, കാരണം... പുതിയ നിലവാരം.

• Exim - അന്തർനിർമ്മിത പിന്തുണയില്ല, ഒരു മൂന്നാം കക്ഷി സ്ക്രിപ്റ്റ് ഉണ്ട് https://github.com/Bobberty/MTASTS-EXIM-PERL 
• പോസ്റ്റ്ഫിക്സ് - അന്തർനിർമ്മിത പിന്തുണയില്ല, ഹബ്രെയിൽ വിശദമായി വിവരിച്ചിരിക്കുന്ന ഒരു മൂന്നാം കക്ഷി സ്ക്രിപ്റ്റ് ഉണ്ട് https://habr.com/en/post/424961/

"നിർബന്ധിത TLS" എന്നതിനെക്കുറിച്ചുള്ള ഒരു പിൻവാക്ക് എന്ന നിലയിൽ

ഈയിടെയായി, റെഗുലേറ്റർമാർ ഇമെയിൽ സുരക്ഷയിൽ ശ്രദ്ധ ചെലുത്തുന്നു (അത് ഒരു നല്ല കാര്യമാണ്). ഉദാഹരണത്തിന്, യുണൈറ്റഡ് സ്റ്റേറ്റ്സിലെ എല്ലാ സർക്കാർ ഏജൻസികൾക്കും DMARC നിർബന്ധമാണ്, കൂടാതെ സാമ്പത്തിക മേഖലയിൽ ഇത് കൂടുതലായി ആവശ്യമാണ്, നിയന്ത്രിത മേഖലകളിൽ നിലവാരത്തിന്റെ നുഴഞ്ഞുകയറ്റം 90% വരെ എത്തുന്നു. ഇപ്പോൾ ചില റെഗുലേറ്റർമാർക്ക് വ്യക്തിഗത ഡൊമെയ്‌നുകൾക്കൊപ്പം “നിർബന്ധിത ടിഎൽഎസ്” നടപ്പിലാക്കേണ്ടതുണ്ട്, എന്നാൽ “നിർബന്ധിത ടിഎൽഎസ്” ഉറപ്പാക്കുന്നതിനുള്ള സംവിധാനം നിർവചിച്ചിട്ടില്ല, പ്രായോഗികമായി ഈ ക്രമീകരണം ഇതിനകം തന്നെ യഥാർത്ഥ ആക്രമണങ്ങളിൽ നിന്ന് സംരക്ഷിക്കാത്ത വിധത്തിലാണ് പലപ്പോഴും നടപ്പിലാക്കുന്നത്. DANE അല്ലെങ്കിൽ MTA-STS പോലുള്ള മെക്കാനിസങ്ങളിൽ നൽകിയിരിക്കുന്നു.

റഗുലേറ്ററിന് പ്രത്യേക ഡൊമെയ്‌നുകൾക്കൊപ്പം “നിർബന്ധിത ടിഎൽഎസ്” നടപ്പിലാക്കണമെങ്കിൽ, ഏറ്റവും അനുയോജ്യമായ മെക്കാനിസമായി MTA-STS അല്ലെങ്കിൽ അതിന്റെ ഭാഗിക അനലോഗ് പരിഗണിക്കാൻ ഞങ്ങൾ ശുപാർശ ചെയ്യുന്നു, ഓരോ ഡൊമെയ്‌നിനും പ്രത്യേകം സുരക്ഷിത ക്രമീകരണങ്ങൾ ഉണ്ടാക്കേണ്ടതിന്റെ ആവശ്യകത ഇത് ഇല്ലാതാക്കുന്നു. MTA-STS-ന്റെ ക്ലയന്റ് ഭാഗം നടപ്പിലാക്കുന്നതിൽ നിങ്ങൾക്ക് ബുദ്ധിമുട്ടുകൾ ഉണ്ടെങ്കിൽ (പ്രോട്ടോക്കോളിന് വ്യാപകമായ പിന്തുണ ലഭിക്കുന്നതുവരെ, അവർ മിക്കവാറും അങ്ങനെ ചെയ്യും), ഞങ്ങൾക്ക് ഈ സമീപനം ശുപാർശ ചെയ്യാൻ കഴിയും:

1. ഒരു MTA-STS നയം കൂടാതെ/അല്ലെങ്കിൽ DANE രേഖകൾ പ്രസിദ്ധീകരിക്കുക (നിങ്ങളുടെ ഡൊമെയ്‌നിനായി DNSSEC ഇതിനകം പ്രവർത്തനക്ഷമമാക്കിയിട്ടുണ്ടെങ്കിൽ മാത്രമേ DANE അർത്ഥമുള്ളൂ, ഏത് സാഹചര്യത്തിലും MTA-STS), ഇത് നിങ്ങളുടെ ദിശയിലുള്ള ട്രാഫിക്കിനെ സംരക്ഷിക്കുകയും മറ്റ് മെയിൽ സേവനങ്ങൾ ചോദിക്കേണ്ടതിന്റെ ആവശ്യകത ഇല്ലാതാക്കുകയും ചെയ്യും. മെയിൽ സേവനം ഇതിനകം MTA-STS കൂടാതെ/അല്ലെങ്കിൽ DANE-നെ പിന്തുണയ്ക്കുന്നുണ്ടെങ്കിൽ, നിങ്ങളുടെ ഡൊമെയ്‌നിനായി നിർബന്ധിത TLS കോൺഫിഗർ ചെയ്യാൻ.
2. വലിയ ഇമെയിൽ സേവനങ്ങൾക്കായി, ഓരോ ഡൊമെയ്‌നിനും പ്രത്യേകം ഗതാഗത ക്രമീകരണങ്ങളിലൂടെ MTA-STS-ന്റെ ഒരു "അനലോഗ്" നടപ്പിലാക്കുക, അത് മെയിൽ റിലേയിംഗിനായി ഉപയോഗിക്കുന്ന MX ശരിയാക്കുകയും അതിനായി ഒരു TLS സർട്ടിഫിക്കറ്റ് നിർബന്ധമായും പരിശോധിക്കേണ്ടതുണ്ട്. ഡൊമെയ്‌നുകൾ ഇതിനകം ഒരു MTA-STS നയം പ്രസിദ്ധീകരിക്കുകയാണെങ്കിൽ, ഇത് വേദനയില്ലാതെ ചെയ്യാൻ സാധ്യതയുണ്ട്. സ്വയം, ഒരു ഡൊമെയ്‌നിനായി നിർബന്ധിത TLS പ്രവർത്തനക്ഷമമാക്കുന്നത് റിലേ ശരിയാക്കാതെയും അതിനുള്ള സർട്ടിഫിക്കറ്റ് പരിശോധിക്കാതെയും ഒരു സുരക്ഷാ വീക്ഷണകോണിൽ നിന്ന് ഫലപ്രദമല്ല കൂടാതെ നിലവിലുള്ള STARTTLS മെക്കാനിസങ്ങളിൽ ഒന്നും ചേർക്കുന്നില്ല.

അവലംബം: www.habr.com