{"id":91951,"date":"2020-08-20T19:42:11","date_gmt":"2020-08-20T17:42:11","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts"},"modified":"2020-08-20T19:42:11","modified_gmt":"2020-08-20T17:42:11","slug":"pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts","title":{"rendered":"Mail.ru b\u00f6rjar i testl\u00e4ge till\u00e4mpa MTA-STS-policyer","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"<p><img decoding=\"async\" alt=\"Mail.ru b\u00f6rjar i testl\u00e4ge till\u00e4mpa MTA-STS-policyer\" src=\"\/wp-content\/uploads\/2020\/08\/1f0b7542aedb372c06c2077ea987dd36.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nKort sagt \u00e4r MTA-STS ett s\u00e4tt att ytterligare skydda e-post fr\u00e5n avlyssning (dvs. man-in-the-middle-attacker aka MitM) under \u00f6verf\u00f6ring mellan e-postservrar. Det delvis l\u00f6ser de \u00e4rvda arkitekturproblem som finns med e-postprotokoll och beskrivs i den relativt nya standarden RFC 8461. Mail.ru \u00e4r den f\u00f6rsta stora e-posttj\u00e4nsten i Ryssland som implementerar denna standard. Mer detaljerad information finns under texten.<br \/>\n<noindex><a rel=\"nofollow\" name=\"habracut\"><\/a><\/noindex><\/p>\n<h1>Vilket problem l\u00f6ser MTA-STS?<\/h1>\n<p>\nHistoriskt sett har e-postprotokollen (SMTP, POP3, IMAP) \u00f6verf\u00f6rt information i klartext, vilket g\u00f6r det m\u00f6jligt att avlyssna den, exempelvis via en s\u00e4kerhetslucka i kommunikationskanalen.<\/p>\n<p>S\u00e5 h\u00e4r ser mekanismen f\u00f6r att leverera ett meddelande fr\u00e5n en anv\u00e4ndare till en annan ut:<\/p>\n<p><img decoding=\"async\" alt=\"Mail.ru b\u00f6rjar i testl\u00e4ge till\u00e4mpa MTA-STS-policyer\" src=\"\/wp-content\/uploads\/2020\/08\/5b0d4749298d7644220a6322912d8716.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nHistoriskt sett har MitM-attacker varit m\u00f6jliga vid alla punkter d\u00e4r e-post passerar.<\/p>\n<p>Standard RFC 8314 kr\u00e4ver obligatorisk anv\u00e4ndning av TLS mellan anv\u00e4ndarens e-postprogram (MUA) och e-postservern. Om din server och de anv\u00e4nda e-postapplikationerna f\u00f6ljer RFC 8314 har du (i stor utstr\u00e4ckning) eliminerat m\u00f6jligheten f\u00f6r man-in-the-middle-attacker mellan anv\u00e4ndaren och e-postservrarna.<\/p>\n<p>Att f\u00f6lja allm\u00e4nt vedertagna metoder (standardiserade RFC 8314) eliminerar attacker n\u00e4ra anv\u00e4ndaren:<\/p>\n<p><img decoding=\"async\" alt=\"Mail.ru b\u00f6rjar i testl\u00e4ge till\u00e4mpa MTA-STS-policyer\" src=\"\/wp-content\/uploads\/2020\/08\/7a45c95793ec958c46f63898db39c1fc.jpeg\" style=\"display:block;margin: 0 auto;\" \/><br \/>\n<br \/>\nMail.ru:s e-postservrar har f\u00f6ljt RFC 8314 redan innan standarden antogs, vilket inneb\u00e4r att det bara bekr\u00e4ftar redan etablerade metoder och vi beh\u00f6vde inte st\u00e4lla in n\u00e5got ytterligare. Men om din e-postserver fortfarande till\u00e5ter anv\u00e4ndning av os\u00e4kra protokoll, se till att implementera rekommendationerna i denna standard, eftersom det troligtvis finns minst en del av dina anv\u00e4ndare som arbetar med e-post utan kryptering, \u00e4ven om du st\u00f6djer det.<\/p>\n<p>E-postklienten arbetar alltid med en och samma e-postserver fr\u00e5n samma organisation. Det \u00e4r m\u00f6jligt att p\u00e5tvinga alla anv\u00e4ndare att koppla upp sig p\u00e5 ett s\u00e4kert s\u00e4tt, efter vilket det blir tekniskt om\u00f6jligt att ansluta os\u00e4kert (detta kr\u00e4ver just RFC 8314). Det kan ibland vara sv\u00e5rt, men \u00e4r genomf\u00f6rbart. Med trafiken mellan e-postservrar \u00e4r det \u00e4nnu mer komplicerat. Servrarna tillh\u00f6r olika organisationer och anv\u00e4nds ofta i ett \"installera och gl\u00f6mma\"-l\u00e4ge, vilket g\u00f6r en samtidig \u00f6verg\u00e5ng till ett s\u00e4kert protokoll om\u00f6jlig utan att bryta kontinuiteten. Ut\u00f6kningsbara STARTTLS har funnits i SMTP under en l\u00e5ng tid, vilket till\u00e5ter servrar som st\u00f6djer kryptering att v\u00e4xla till TLS. Men en angripare som har m\u00f6jlighet att p\u00e5verka trafiken kan \"klippa\" information om st\u00f6d f\u00f6r detta kommando och tvinga servrarna att kommunicera via ett vanligt textprotokoll (s\u00e5 kallad nedgraderingsattack). Av samma anledning verifieras vanligtvis inte certifikat \u00f6verensst\u00e4mmelse f\u00f6r STARTTLS (ett otillf\u00f6rlitligt certifikat kan skydda mot passiva attacker, och det \u00e4r inte s\u00e4mre \u00e4n att skicka ett meddelande i klartext). D\u00e4rf\u00f6r skyddar STARTTLS endast mot passiv avlyssning.<\/p>\n<p>MTA-STS delvis l\u00f6ser problemet med avlyssning av e-post mellan e-postservrar, n\u00e4r en angripare har m\u00f6jlighet att aktivt p\u00e5verka trafiken. Om mottagarens dom\u00e4n publicerar en MTA-STS-policy och avs\u00e4ndarens server st\u00f6djer MTA-STS, kommer den att skicka e-post endast \u00f6ver en TLS-anslutning, endast till servrar som anges i policyn och endast med certifikatverifiering av servern.<\/p>\n<p>Varf\u00f6r delvis? MTA-STS fungerar endast om b\u00e5da parter har s\u00e4kerst\u00e4llt implementationen av denna standard och MTA-STS skyddar inte mot scenarier d\u00e4r en angripare har m\u00f6jlighet att f\u00e5 ett giltigt dom\u00e4ncertifikat fr\u00e5n en av de offentliga CA.<\/p>\n<h1>Hur fungerar MTA-STS<\/h1>\n<p>\n<b>Mottagare<\/b><\/p>\n<ol>\n<li>Konfigurerar st\u00f6d f\u00f6r STARTTLS med ett giltigt certifikat p\u00e5 e-postservern.\u00a0<\/li>\n<li>Publicerar via HTTPS en MTA-STS-policy, f\u00f6r publiceringen anv\u00e4nds en speciell dom\u00e4n mta-sts och en speciell well-known s\u00f6kv\u00e4g, till exempel <code>https:\/\/mta-sts.mail.ru\/.well-known\/mta-sts.txt<\/code>. Policyn inneh\u00e5ller en lista \u00f6ver e-postservrar (mx) som har r\u00e4tt att ta emot e-post f\u00f6r denna dom\u00e4n.<\/li>\n<li>Publicerar en speciell TXT-post _mta-sts i DNS med policyns version. N\u00e4r policyn \u00e4ndras m\u00e5ste denna post uppdateras (det signalerar till avs\u00e4ndaren att den beh\u00f6ver beg\u00e4ra policyn p\u00e5 nytt). Till exempel, <code>_mta-sts.mail.ru. TXT \"v=STSv1; id=20200303T120000;\"<\/code><\/li>\n<\/ol>\n<p>\n<b>Afsender<\/b><\/p>\n<p>Avs\u00e4ndaren beg\u00e4r DNS-posten _mta-sts, och om den finns g\u00f6rs en policyns beg\u00e4ran via HTTPS (som kontrollerar certifikatet). Den mottagna policyn cachas (ifall en angripare blockerar \u00e5tkomst till den eller manipulerar DNS-posten).<\/p>\n<p>Vid e-postavs\u00e4ndning kontrolleras att:<\/p>\n<ul>\n<li>servern som e-posten levereras till finns i policyn;<\/li>\n<li>servern tar emot e-post med hj\u00e4lp av TLS (STARTTLS) och har ett giltigt certifikat.<\/li>\n<\/ul>\n<p><\/p>\n<h1>F\u00f6rdelar med MTA-STS<\/h1>\n<p>\nMTA-STS anv\u00e4nder teknologier som redan \u00e4r implementerade i de flesta organisationer (SMTP+STARTTLS, HTTPS, DNS). Ingen speciell mjukvarust\u00f6d kr\u00e4vs p\u00e5 mottagarens sida f\u00f6r att genomf\u00f6ra standarden.<\/p>\n<h1>Nackdelar med MTA-STS<\/h1>\n<p>\nDet \u00e4r n\u00f6dv\u00e4ndigt att \u00f6vervaka giltigheten av certifikatet f\u00f6r webb- och e-postserver, namnens \u00f6verensst\u00e4mmelse och snabb uppdatering. Problem med certifikatet leder till att e-post inte kan levereras.<\/p>\n<p>P\u00e5 avs\u00e4ndarens sida kr\u00e4vs en MTA som st\u00f6djer MTA-STS-policyer, f\u00f6r n\u00e4rvarande st\u00f6ds MTA-STS inte \"out-of-the-box\" i MTA.<\/p>\n<p>MTA-STS anv\u00e4nder en lista \u00f6ver betrodda rot-CA.<\/p>\n<p>MTA-STS skyddar inte mot attacker d\u00e4r en angripare anv\u00e4nder ett giltigt certifikat. I de flesta fall inneb\u00e4r MitM i n\u00e4rheten av servern m\u00f6jlighet att utf\u00e4rda ett certifikat. En s\u00e5dan attack kan uppt\u00e4ckas tack vare Certificate Transparency. D\u00e4rf\u00f6r mildrar MTA-STS \u00f6verlag men eliminerar inte helt m\u00f6jligheten till trafikavlyssning.<\/p>\n<p>De tv\u00e5 senaste punkterna g\u00f6r MTA-STS mindre skyddad \u00e4n den konkurrerande standarden DANE f\u00f6r SMTP (RFC 7672), men mer tekniskt p\u00e5litlig, det vill s\u00e4ga att risken f\u00f6r att ett meddelande inte levereras p\u00e5 grund av tekniska problem orsakade av implementeringen av standarden \u00e4r l\u00e5g f\u00f6r MTA-STS.<\/p>\n<h4>Den konkurrerande standarden \u00e4r DANE<\/h4>\n<p>\nDANE anv\u00e4nder DNSSEC f\u00f6r att publicera information om certifikat och kr\u00e4ver inget f\u00f6rtroende f\u00f6r externa certifikatutf\u00e4rdare, vilket \u00e4r betydligt s\u00e4krare. Men anv\u00e4ndning av DNSSEC leder avsev\u00e4rt oftare till tekniska fel, om man ser p\u00e5 statistiken fr\u00e5n flera \u00e5rs anv\u00e4ndning (\u00e4ven om det finns en positiv trend i tillf\u00f6rlitligheten och det tekniska st\u00f6det f\u00f6r DNSSEC). F\u00f6r att implementera DANE i SMTP p\u00e5 mottagarens sida \u00e4r det obligatoriskt med DNSSEC f\u00f6r DNS-zonen, och f\u00f6r DANE \u00e4r det viktigt att korrekt st\u00f6dja NSEC\/NSEC3, d\u00e4r DNSSEC har systemproblem.<\/p>\n<p>Om DNSSEC \u00e4r felkonfigurerat kan det leda till avvisningar av e-post, om avs\u00e4ndarens sida st\u00f6der DANE, \u00e4ven om mottagarsidan inte vet n\u00e5got om det. D\u00e4rf\u00f6r, trots att DANE \u00e4r en \u00e4ldre och s\u00e4krare standard som redan st\u00f6ds i viss serverprogramvara p\u00e5 avs\u00e4ndarsidan, f\u00f6rblir dess genomslag litet, m\u00e5nga organisationer \u00e4r inte beredda att implementera det p\u00e5 grund av behovet av att genomf\u00f6ra DNSSEC, vilket har f\u00f6rdr\u00f6jt inf\u00f6randet av DANE under de \u00e5r som standarden har funnits.<\/p>\n<p>DANE och MTA-STS st\u00e5r inte i konflikt med varandra och kan anv\u00e4ndas tillsammans.<\/p>\n<h1>Vad med MTA-STS-st\u00f6det i Mail.ru?<\/h1>\n<p>\nMail.ru har l\u00e4nge publicerat MTA-STS-policies f\u00f6r alla stora dom\u00e4ner. Just nu arbetar vi med att implementera klientdelen av standarden. Vid tidpunkten f\u00f6r denna artikels skrivande till\u00e4mpas policyn i ett icke-blockerande l\u00e4ge (om leveransen blockeras av policyn kommer meddelandet att levereras via en \"reserv\"-server utan att f\u00f6lja policyn), och sedan kommer vi att tvinga in en blockerande l\u00e4ge f\u00f6r en liten del av den utg\u00e5ende SMTP-trafiken, gradvis kommer 100% av trafiken att st\u00f6dja till\u00e4mpningen av policyn.<\/p>\n<h1>Vilka fler st\u00f6der standarden?<\/h1>\n<p>\nF\u00f6r n\u00e4rvarande publicerar ungef\u00e4r 0.05% av aktiva dom\u00e4ner MTA-STS-policyn, men de skyddar redan en stor m\u00e4ngd e-posttrafik, eftersom stora akt\u00f6rer som Google, Comcast och delvis Verizon (AOL, Yahoo) st\u00f6der standarden. M\u00e5nga andra e-posttj\u00e4nster har meddelat att de kommer att implementera st\u00f6det f\u00f6r standarden inom en snar framtid.<\/p>\n<h1>Hur p\u00e5verkar detta mig?<\/h1>\n<p>\nInga, om din dom\u00e4n inte publicerar en MTA-STS-policy. Om du publicerar en policy blir e-postmeddelanden f\u00f6r anv\u00e4ndare p\u00e5 din e-postserver b\u00e4ttre skyddade mot avlyssning.<\/p>\n<h1>Hur implementerar jag MTA-STS?<\/h1>\n<p>\n<b>MTA-STS-st\u00f6d p\u00e5 mottagarens sida<\/b><\/p>\n<p>Det r\u00e4cker med att publicera en policy via HTTPS och DNS-poster, konfigurera ett giltigt certifikat fr\u00e5n en av de betrodda CA:erna (Let's Encrypt kan anv\u00e4ndas) f\u00f6r STARTTLS i MTA (STARTTLS st\u00f6ds i alla moderna MTA:er), ingen s\u00e4rskild support fr\u00e5n MTA beh\u00f6vs.<\/p>\n<p>I steg ser det ut s\u00e5 h\u00e4r:<\/p>\n<ol>\n<li>Konfigurera STARTTLS i den anv\u00e4nda MTA:n (postfix, exim, sendmail, Microsoft Exchange, etc.).<\/li>\n<li>Se till att ett giltigt certifikat anv\u00e4nds (utgivet av en betrodd CA, ogiltigt certifikat eller motsvarande objekt f\u00f6r certifikatet som st\u00e4mmer \u00f6verens med MX-posten f\u00f6r din dom\u00e4n).<\/li>\n<li>Konfigurera en TLS-RPT-post d\u00e4r rapporter om policyernas till\u00e4mpning levereras (tj\u00e4nster som st\u00f6der rapportutskick av TLS). Exempel p\u00e5 post (f\u00f6r dom\u00e4nen example.com):\n<pre><code class=\"plaintext\">smtp._tls.example.com. 300 IN TXT \"v=TLSRPTv1; rua=mailto:tlsrpt@example.com\"<\/code><\/pre>\n<p>\nDenna post instruerar avs\u00e4ndare att skicka statistiska rapporter om anv\u00e4ndning av TLS i SMTP till adressen <code>tlsrpt@exmple.com<\/code>.<\/p>\n<p>H\u00e5ll koll p\u00e5 rapporterna n\u00e5gra dagar, se till att det inte finns n\u00e5gra fel.<\/li>\n<li>Publicera MTA-STS-policyn via HTTPS. Policyn publiceras som en textfil med CRLF radavslutare p\u00e5 angiven plats.\n<pre><code class=\"plaintext\">https:\/\/mta-sts.example.com\/.well-known\/mta-sts.txt\n<\/code><\/pre>\n<p>\nExempel p\u00e5 policy:<\/p>\n<pre><code class=\"plaintext\">version: STSv1\nmode: enforce\nmx: mxs.mail.ru\nmx: emx.mail.ru\nmx: mx2.corp.mail.ru\nmax_age: 86400\n<\/code><\/pre>\n<p>\nF\u00e4ltet version inneh\u00e5ller policyversionen (just nu \u00e4r det <code>STSv1<\/code>), mode anger till\u00e4mpningsl\u00e4ge f\u00f6r policyn, testing \u2014 testl\u00e4ge (policyn till\u00e4mpas inte), enforce \u2014 \"standardl\u00e4ge\". Publicera f\u00f6rst policyn med mode: testing, om det inte finns n\u00e5gra problem med policyn i testl\u00e4get, kan du efter ett tag v\u00e4xla till mode: enforce.<\/p>\n<p>I mx anges en lista \u00f6ver alla e-postservrar som kan ta emot e-post f\u00f6r din dom\u00e4n (varje server m\u00e5ste ha ett certifikat som motsvarar namnet som anges i mx). Max_age anger tiden f\u00f6r cachelagring av policyn (en g\u00e5ng inl\u00e4st kommer policyn att till\u00e4mpas \u00e4ven om en angripare blockerar dess avl\u00e4mning eller g\u00f6r DNS-posterna ogiltiga under cachelagringstiden, signal om att policyn m\u00e5ste beg\u00e4ras p\u00e5 nytt kan ges genom att \u00e4ndra mta-sts-posten i DNS).<\/li>\n<li>Publicera en TXT-post i DNS:\u00a0\n<pre><code class=\"plaintext\">_mta-sts.example.com. TXT \"v=STS1; id=someid;\"\n<\/code><\/pre>\n<p>\nI f\u00e4ltet id kan en godtycklig identifierare (t.ex. tidsst\u00e4mpel) anv\u00e4ndas, och vid f\u00f6r\u00e4ndring av policyn m\u00e5ste den \u00e4ndras. Detta g\u00f6r det m\u00f6jligt f\u00f6r avs\u00e4ndarna att f\u00f6rst\u00e5 att den cachade policyn m\u00e5ste beg\u00e4ras p\u00e5 nytt (om identifieraren skiljer sig fr\u00e5n den cachade).<\/li>\n<\/ol>\n<p>\n<b>St\u00f6d f\u00f6r MTA-STS p\u00e5 avs\u00e4ndarsidan<\/b><\/p>\n<p>Det g\u00e5r fortfarande d\u00e5ligt med det, eftersom standarden \u00e4r ny.<\/p>\n<ul>\n<li>Exim \u2014 ingen inbyggd support, det finns ett tredjeparts skript <noindex><a rel=\"nofollow\" href=\"https:\/\/github.com\/Bobberty\/MTASTS-EXIM-PERL\">https:\/\/github.com\/Bobberty\/MTASTS-EXIM-PERL<\/a><\/noindex>\u00a0<\/li>\n<li>Postfix \u2014 ingen inbyggd support, det finns ett tredjeparts skript som beskrivs i detalj p\u00e5 Habr. <noindex><a rel=\"nofollow\" href=\"https:\/\/habr.com\/en\/post\/424961\/\">https:\/\/habr.com\/en\/post\/424961\/<\/a><\/noindex><\/li>\n<\/ul>\n<p><\/p>\n<h1>Som en slutkommentar om \"mandatory TLS\"<\/h1>\n<p>\nNyligen har reglerare b\u00f6rjat fokusera p\u00e5 s\u00e4kerheten inom e-post (och det \u00e4r bra). Till exempel \u00e4r DMARC obligatoriskt f\u00f6r alla statliga institutioner i USA och blir allt oftare ett krav inom finanssektorn; i reglerade omr\u00e5den n\u00e5r standardens genomslag 90%. Vissa reglerare kr\u00e4ver nu implementering av \"mandatory TLS\" med s\u00e4rskilda dom\u00e4ner, men mekanismen f\u00f6r att s\u00e4kerst\u00e4lla \"mandatory TLS\" definieras inte, och i praktiken implementeras denna inst\u00e4llning ofta p\u00e5 ett s\u00e4tt som minimalt skyddar mot verkliga attacker, som redan beaktas i mekanismer som DANE eller MTA-STS.<\/p>\n<p>Om regleraren kr\u00e4ver implementering av \"mandatory TLS\" med s\u00e4rskilda dom\u00e4ner, rekommenderar vi att \u00f6verv\u00e4ga MTA-STS eller dess partiella analog som den mest l\u00e4mpliga mekanismen. Det eliminerar behovet av att g\u00f6ra s\u00e4kra inst\u00e4llningar f\u00f6r varje dom\u00e4n individuellt. Om du har problem med att implementera klientdelen av MTA-STS (tills protokollet f\u00e5r bred support, kommer det f\u00f6rmodligen att uppst\u00e5), kan ett s\u00e5dant tillv\u00e4gag\u00e5ngss\u00e4tt rekommenderas:<\/p>\n<ol>\n<li>Publicera MTA-STS policyn och\/eller DANE-poster (DANE har mening att l\u00e4gga till endast om DNSSEC redan \u00e4r aktiverat f\u00f6r din dom\u00e4n, samt MTA-STS i alla fall). Detta skyddar trafiken mot din sida och eliminerar behovet av att be andra e-posttj\u00e4nster att st\u00e4lla in mandatory TLS f\u00f6r din dom\u00e4n, om e-posttj\u00e4nsten redan st\u00f6der MTA-STS och\/eller DANE.<\/li>\n<li>F\u00f6r stora e-posttj\u00e4nster implementera en \"analog\" till MTA-STS genom separata transportinst\u00e4llningar f\u00f6r varje dom\u00e4n, som fastst\u00e4ller den MX som anv\u00e4nds f\u00f6r e-postrelay och som kommer att kr\u00e4va obligatorisk verifiering av TLS-certifikatet. Om dom\u00e4ner redan publicerar en MTA-STS-policy, kan detta troligtvis g\u00f6ras utan problem. Att enbart aktivera obligatorisk TLS f\u00f6r en dom\u00e4n utan att fastst\u00e4lla rel\u00e4et och verifiera certifikatet \u00e4r ineffektivt ur s\u00e4kerhetssynpunkt och tillf\u00f6r inget till de befintliga STARTTLS-mekanismerna.<\/li>\n<\/ol>\n<p>K\u00e4lla: <a content=\"nofollow\" rel=\"nofollow\" href=\"https:\/\/habr.com\/ru\/company\/mailru\/blog\/515746\/\">habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"<p>\u0415\u0441\u043b\u0438 \u043a\u0440\u0430\u0442\u043a\u043e, \u0442\u043e MTA-STS \u2014 \u044d\u0442\u043e \u0441\u043f\u043e\u0441\u043e\u0431 \u0434\u043e\u043f\u043e\u043b\u043d\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0437\u0430\u0449\u0438\u0442\u0438\u0442\u044c \u043f\u0438\u0441\u044c\u043c\u0430 \u043e\u0442 \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430 (\u0442.\u0435. \u0430\u0442\u0430\u043a \u0437\u043b\u043e\u0443\u043c\u044b\u0448\u043b\u0435\u043d\u043d\u0438\u043a-\u0432-\u0441\u0435\u0440\u0435\u0434\u0438\u043d\u0435 aka MitM) \u043f\u0440\u0438 \u043f\u0435\u0440\u0435\u0434\u0430\u0447\u0435 \u043c\u0435\u0436\u0434\u0443 \u043f\u043e\u0447\u0442\u043e\u0432\u044b\u043c\u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u0430\u043c\u0438. \u041e\u043d \u0447\u0430\u0441\u0442\u0438\u0447\u043d\u043e \u0440\u0435\u0448\u0430\u0435\u0442 \u0443\u043d\u0430\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u043d\u043d\u044b\u0435 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u0443\u0440\u043d\u044b\u0435 \u043f\u0440\u043e\u0431\u043b\u0435\u043c\u044b \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u043e\u0432 \u044d\u043b\u0435\u043a\u0442\u0440\u043e\u043d\u043d\u043e\u0439 \u043f\u043e\u0447\u0442\u044b \u0438 \u043e\u043f\u0438\u0441\u0430\u043d \u0432 \u043e\u0442\u043d\u043e\u0441\u0438\u0442\u0435\u043b\u044c\u043d\u043e \u0441\u0432\u0435\u0436\u0435\u043c \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442\u0435 RFC 8461. \u041f\u043e\u0447\u0442\u0430 Mail.ru \u2014 \u043f\u0435\u0440\u0432\u0430\u044f \u043a\u0440\u0443\u043f\u043d\u0430\u044f \u043f\u043e\u0447\u0442\u043e\u0432\u0430\u044f \u0441\u043b\u0443\u0436\u0431\u0430 \u0432 \u0420\u0443\u043d\u0435\u0442\u0435, \u0440\u0435\u0430\u043b\u0438\u0437\u0443\u044e\u0449\u0430\u044f \u0434\u0430\u043d\u043d\u044b\u0439 \u0441\u0442\u0430\u043d\u0434\u0430\u0440\u0442. \u0410 \u0431\u043e\u043b\u0435\u0435 \u043f\u043e\u0434\u0440\u043e\u0431\u043d\u043e \u0440\u0430\u0441\u0441\u043a\u0430\u0437\u044b\u0432\u0430\u0435\u0442\u0441\u044f [&hellip;]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91952,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91951","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t<!-- All in One SEO 5.0.4 - aioseo.com -->\n\t<meta name=\"description\" content=\"\u0415\u0441\u043b\u0438 \u043a\u0440\u0430\u0442\u043a\u043e, \u0442\u043e.\" \/>\n\t<meta name=\"robots\" content=\"max-image-preview:large\" \/>\n\t<meta name=\"author\" content=\"Yuri Gagarin\"\/>\n\t<link rel=\"canonical\" href=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts\" \/>\n\t\t<meta name=\"generator\" content=\"All in One SEO (AIOSEO) 5.0.4\" \/>\n\t\t<meta property=\"og:locale\" content=\"sv_SE\" \/>\n\t\t<meta property=\"og:site_name\" content=\"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b\" \/>\n\t\t<meta property=\"og:type\" content=\"article\" \/>\n\t\t<meta property=\"og:title\" content=\"\ud83e\udd47\u041f\u043e\u0447\u0442\u0430 Mail.ru \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0432 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 MTA-STS | ProHoster\" \/>\n\t\t<meta property=\"og:description\" content=\"\u0415\u0441\u043b\u0438 \u043a\u0440\u0430\u0442\u043a\u043e, \u0442\u043e.\" \/>\n\t\t<meta property=\"og:url\" content=\"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts\" \/>\n\t\t<meta property=\"og:image\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:secure_url\" content=\"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg\" \/>\n\t\t<meta property=\"og:image:width\" content=\"350\" \/>\n\t\t<meta property=\"og:image:height\" content=\"350\" \/>\n\t\t<meta property=\"article:published_time\" content=\"2020-08-20T17:42:11+00:00\" \/>\n\t\t<meta property=\"article:modified_time\" content=\"2020-08-20T17:42:11+00:00\" \/>\n\t\t<meta property=\"article:publisher\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<meta property=\"article:author\" content=\"https:\/\/www.facebook.com\/prohoster\" \/>\n\t\t<!-- All in One SEO -->\n\n","aioseo_head_json":{"title":"\ud83e\udd47Mail.ru b\u00f6rjar i testl\u00e4ge till\u00e4mpa MTA-STS-policyer | ProHoster","description":"Sammanfattningsvis.","canonical_url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"sv_SE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u041f\u043e\u0447\u0442\u0430 Mail.ru \u043d\u0430\u0447\u0438\u043d\u0430\u0435\u0442 \u0432 \u0442\u0435\u0441\u0442\u043e\u0432\u043e\u043c \u0440\u0435\u0436\u0438\u043c\u0435 \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u043f\u043e\u043b\u0438\u0442\u0438\u043a\u0438 MTA-STS | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u043a\u0440\u0430\u0442\u043a\u043e, \u0442\u043e.","og:url":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/pochta-mail-ru-nachinaet-v-testovom-rezhime-primenyat-politiki-mta-sts","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-20T17:42:11+00:00","article:modified_time":"2020-08-20T17:42:11+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91951","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:18:26","updated":"2022-09-27 15:16:28","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/91951","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/comments?post=91951"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/posts\/91951\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media\/91952"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/media?parent=91951"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/categories?post=91951"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/sv\/wp-json\/wp\/v2\/tags?post=91951"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}