SMTP TLS nélkül

Szerintem ezt túl fogja élni a világ, hogy nálad kötelező.

Látod, amit nekem írtál, az sem kritikus, mégis https alatt jött-ment, tisztára pazarló módon. :-)

Én a gyermekvédelmiterrorizmus ürügyén követelem minden titkosítás megszüntetését, és switchek helyett hubok alkalmazását, hogy bárki ellenőrizhessen bárkit. Free tcp 80! Free nipple!

Emailben általában komolyabb dolgok mennek, nem csak annyi, hogy "Szia Mama, itt vagyunk a Balatonon, az idő remek, nagyon jól érezzük magunkat! Puszi, Öcsi"

persze, ha meg rossz lesz az idő akkor egész nap csak gubbasztanak majd. 

 

...és egy csomó esetben tök értelmetlen erőforrást pazarolni rá, tök publikus cuccoknál semmi haszna nincs annak, hogy titkosítva töltöd le, az ingyenes cert-ek miatt pedig még értelmes védelem sincs, hogy tényleg onnan töltötted-e le, ahonnan akartad... amúgy a keresőmotorok és a böngészők prefereláják, ezért van értelme https szolgáltatni.

Tudom, hogy ez meglepetésként ér sokakat, de a levelezés mint olyan, RFC szabványok által irányított technológia. Mind az SMTP (RFC 5321) mind pedig a levél MIME tartalma (RFC 822 / RFC 2822) elég kötött módon szabályozott dolog. És itt nincs olyan szabadosság, mint a böngészőknél, hogy majd mi jól leimplementálunk belterjes kis háziszabványokat, mert ha azt a levelezők többsége nem támogatja, akkor kiteheted az ablakba.

Pont annyira, mint ahogy a kliens-szerver vagy kliens-kliens közti kommunikációt.

Tökéletes válasz, az ember ebből mindent megtud, ami rá tartozik: semmit.

"Egy elfelejtett jelszó link? Egy árajánlat, megrendelő? Egy bescannelt szerződés?"

-elviszem a linkedet, és én cserélek jelszót... Utána a fiókhoz tartozó címet cserélem le... Elég, ha a megfelelő levél pár percet "késik".
-Árajánlat, megrendelő, szerződés.. Hint: üzleti titok. Illetve lehet még személyes adat is... 
 

Elméletileg igazad van, de gyakorlatilag a kutya nem nézi a forgalmat két nagyobb DC esetében. Mivel tipikusan jó minőségű switch-ek vannak, még a szomszéd gép sem valószínű, hogy látja, azonos subnet-en. A sok 10 Gbps-os kábelt sem nézegeti a portás, hogy mi megy ki meg be. Azokhoz a drótokhoz jellemzően nem fér Vér István. Nyilván mindenféle szolgálatok előfordulhat, hogy hozzáférnek (tehát szerintem is inkább hasznos a titkosítás), de azért ez is inkább kicsit olyan, mint mikor kamasz vagy és azt hiszed mindenki téged néz, de igazából a kutyát nem érdekled.

haaat, attol fugg mikori az a java. mert ha csak valami regi, konnyen torheto titkositot tud, nem vagyunk sokkal beljebb.

Igen, pont a .gov.hu alatti levelezés az, ami 1000 sebből vérzik. Rengeteg hivatal, állami szerv. Hozzáértés és szakember hiány miatt nem is értik, hogy mi a baj mondjuk az SSL 3.0-val (megtörtént eset alapján írom).

Ha kellően komolyan vennék ott az IT biztonságot, akkor TLS 1.2-nél gyengébb (cipherekre most nem térek ki) gyengébb SMTP / HTTP kommunikációt nem is kellene engedniük.

És persze az MX mire való? Fogadásra :D

ezek fqdn domain-ek publikus MX-ei.

Azaz levél fogadására vannak. Ezt jelenti, hogy valami publikus MX.

A relayhost nem kötelezően azonos az MX-szel, és jellemzően nem is szokott az lenni.

jo, de amikor terveztek, nem gondoltak, hogy mimindenre lesz hasznalva, ezert nem tettek bele az integritas ellenorzest.

nagyobb problema, hogy most, hogy mar tudjak, hogy most mire van hasznalva, most sem minden uzemelteto hasznalja a lehetosegeket.

ha nincs ssl, legalabb dkim legyen.

es ha szorolap/oriasplakat/whatever sem, akkor meg sok sok hektar erdot is... :)

Szerintem csereberélték egymás közt az IP-ket, csak az adminisztráció senkinek nem erős oldala.

Szeremcsére nem csak PGP, hanem S/MIME titkosítás is létezik, ami ráadásul szabványos is, és elég sok levelező támogatja, csak hát ilyen tanusítvány izéket kell csinálni, amitől az openszósz huszárok ódzkodnak.

És akkor mi van? Mivel az email-forgalomban nem kötelező a TLS, hanem opcionális, az egyetlen biztos megoldás, ha azt feltételezzük, hogy a levélforgalomban nincs titkosítás, minden más hamis biztonságérzet. Inkább ezt kéne tudatosítani mindenkiben, mint azon keseregni, puffogni, hogy nem tud minden mailserver TLS-t.

PGP-t tudsz akkor is használni, ha a levelező nem támogatja. Persze, kicsit kényelmetlen, mert be kell illesztened az előre megírt email szövegét, azt CLI-ben titkosítani OpenPGP-vel, majd azt illesztgetni a mailkliensbe, sok embernek, akik egybitesek, meg lusta egy GUI gombklikkelősek, azoknak kapásból dealbreaker lehet, de aki biztonságtudatos, annak egy valós alternatíva. Plusz még első használatkor tanúsítványokkal, kulcslétrehozással is kell szívni, természetesen, de ez ott van akkor is, ha a levelezőprogram tudja a PGP-t.

Akár még automatizálni is lehet, hogy bedrótozod gyorsbillentyűre, egy scriptként, kijelölöd a szöveget, gyorsbillentyű benyom, a script lefuttat mindent, titkosít, végül lecseréli a szöveget a titkosított verzióra.

"MERT ÚRISTEN SECURITY ÉS MEGLÁTJÁK HOGY POSTFIX!"

Nagyon nem mindegy, hogy tudjuk, kivel beszélgetünk, és célzottan lehet támadni, vagy csak azt tudjuk, hogy xyz tcp porton beküldött kérésre válaszol valami.