Σύντομη εξήγηση για το MTA-STS και το TLS-RPT
Τα MTA-STS και TLS-RPT είναι δύο ρυθμίσεις για τον τομέα σας που αφορούν την κρυπτογράφηση της αλληλογραφίας που εισέρχεται σε εσάς. Θα τα συναντήσετε σε δοκιμές όπως το internet.nl ή σε μια αναφορά ελέγχου ασφαλείας. Σε αυτό το άρθρο θα διαβάσετε τι κάνουν, πώς εμφανίζονται και αν τα χρειάζεστε. Σύντομη απάντηση εκ των προτέρων: για τους περισσότερους πελάτες δεν είναι απαραίτητα.
Τι επιλύει αυτό;
Όταν ένας διακομιστής αλληλογραφίας παραδίδει μηνύματα στον διακομιστή αλληλογραφίας του παραλήπτη, κρυπτογραφούν τη σύνδεση όταν αυτό είναι δυνατό (STARTTLS). Αν αυτό δεν είναι εφικτό, το μήνυμα συνήθως αποστέλλεται απλώς χωρίς κρυπτογράφηση. Επίσης, το πιστοποιητικό του διακομιστή παραλήπτη συχνά δεν ελέγχεται αυστηρά. Κάποιος που μπορεί να παρέμβει στην κίνηση κατά τη μεταφορά, μπορεί έτσι να απενεργοποιήσει την κρυπτογράφηση ή να κατευθύνει το μήνυμα σε δικό του διακομιστή.
Με το MTA-STS γνωστοποιείτε, ως παραλήπτης: η αλληλογραφία προς τον τομέα μου πρέπει πάντα να είναι κρυπτογραφημένη, και να αποστέλλεται μόνο προς αυτούς τους διακομιστές αλληλογραφίας με έγκυρο πιστοποιητικό. Ένας αποστολέας που υποστηρίζει το MTA-STS, συμμορφώνεται με αυτό.
Τα δύο μέρη του MTA-STS
1. Μια εγγραφή TXT στο όνομα _mta-sts, που δηλώνει ότι υπάρχει πολιτική:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
Το id είναι ένας αριθμός έκδοσης που επιλέγετε εσείς. Αν τροποποιήσετε την πολιτική, αλλάξτε και το id, ώστε οι αποστολείς να ανακτήσουν τη νέα πολιτική.
2. Ένα αρχείο πολιτικής ακριβώς σε αυτή τη διεύθυνση, μέσω https με έγκυρο πιστοποιητικό:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Γραμμή | Σημασία |
|---|---|
mode: testing | Οι αποστολείς παραδίδουν όπως πάντα, αλλά αναφέρουν προβλήματα μέσω TLS-RPT. Με αυτό ξεκινάτε. |
mode: enforce | Οι αποστολείς παραδίδουν μόνο μέσω κρυπτογραφημένης σύνδεσης με έγκυρο πιστοποιητικό, σε έναν από τους αναφερόμενους διακομιστές αλληλογραφίας. Αν αυτό δεν είναι εφικτό, το μήνυμα παραμένει στην ουρά αναμονής του αποστολέα. |
mode: none | Δεν υπάρχει (πλέον) πολιτική. |
mx: | Το όνομα του διακομιστή αλληλογραφίας σας, ακριβώς όπως εμφανίζεται στην εγγραφή MX σας. Αν έχετε περισσότερες εγγραφές MX, τοποθετήστε κάθε όνομα σε ξεχωριστή γραμμή. Σε ένα πακέτο του WebOké, αυτό είναι συνήθως το όνομα διακομιστή του πακέτου σας, όπως στο παράδειγμα· το πιστοποιητικό του διακομιστή αλληλογραφίας μας αντιστοιχεί σε αυτό το όνομα. Αν το MX σας δείχνει στο δικό σας όνομα τομέα, το πιστοποιητικό ενδέχεται να μην ταιριάζει και δεν πρέπει να χρησιμοποιήσετε enforce. |
max_age: | Πόσο καιρό μπορεί ένας αποστολέας να διατηρεί την πολιτική στη μνήμη, σε δευτερόλεπτα. Το 604800 αντιστοιχεί σε μία εβδομάδα. |
Ένας αποστολέας διατηρεί την πολιτική στη μνήμη. Για τον λόγο αυτό, το MTA-STS δεν προστατεύει την πρώτη φορά που ένας αποστολέας σάς στέλνει μήνυμα, αλλά προστατεύει στη συνέχεια.
TLS-RPT: αναφορές σχετικά με την κρυπτογράφηση
Με το TLS-RPT ζητάτε από τους αποστολείς καθημερινή αναφορά σχετικά με αποτυχημένη κρυπτογράφηση, για παράδειγμα λόγω ληγμένου πιστοποιητικού ή ονόματος διακομιστή αλληλογραφίας που δεν περιλαμβάνεται στην πολιτική σας. Πρόκειται για μία εγγραφή TXT στο όνομα _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Οι αναφορές είναι τεχνικά αρχεία (JSON). Χρησιμοποιήστε, όπως και στις αναφορές DMARC, ένα ξεχωριστό mailbox για αυτές. Δείτε Ανάγνωση αναφοράς DMARC.
Η σειρά: πρώτα TLS-RPT, έπειτα MTA-STS σε λειτουργία testing, ανάγνωση αναφορών για μερικές εβδομάδες, και μόνο μετά enforce.
MTA-STS ή DANE;
Το DANE κάνει το ίδιο πράγμα με διαφορετικό τρόπο: το αποτύπωμα του πιστοποιητικού του διακομιστή αλληλογραφίας σας βρίσκεται στο DNS (μια εγγραφή TLSA), προστατευμένο με DNSSEC. Το DANE προστατεύει επίσης την πρώτη σύνδεση, αλλά λειτουργεί μόνο όταν το DNSSEC είναι ενεργοποιημένο. Το MTA-STS δεν απαιτεί DNSSEC, αλλά απαιτεί έναν ιστότοπο με πιστοποιητικό. Μπορείτε να τα χρησιμοποιήσετε και τα δύο ταυτόχρονα· ένας αποστολέας που υποστηρίζει το DANE, δίνει τότε προτεραιότητα στο DANE.
Αν η αλληλογραφία σας φιλοξενείται στο WebOké, μπορείτε να ενεργοποιήσετε το DANE στο Το WebOké μου, στο ίδιο σημείο με το DNSSEC. Στη συνέχεια, το WebOké διατηρεί τις εγγραφές TLSA αυτόματα. Διαβάστε DNSSEC και DANE και Λίστα ελέγχου Internet.nl: επίτευξη 100% για τον ιστότοπο και το email σας.
Το χρειάζεστε;
Για τους περισσότερους πελάτες όχι. Η αλληλογραφία μεταξύ μεγάλων διακομιστών αλληλογραφίας κρυπτογραφείται σήμερα σχεδόν πάντα, και αν θέλετε να προστατεύσετε επιπλέον την αλληλογραφία σας στο WebOké, το DANE είναι το απλούστερο βήμα. Το MTA-STS είναι ιδιαίτερα χρήσιμο αν το απαιτεί ο οργανισμός σας, ή αν αναμένετε παραλήπτες που χρησιμοποιούν MTA-STS αλλά όχι DANE. Για τη δική σας εξερχόμενη αλληλογραφία δεν χρειάζεται να ρυθμίσετε τίποτα: αυτό καθορίζεται από τον διακομιστή που αποστέλλει την αλληλογραφία σας.
Ρύθμιση από εσάς σε πακέτο hosting
Τις δύο εγγραφές TXT τις καταχωρείτε στο DNS Management στο DirectAdmin ή στην καρτέλα DNS στο Το WebOké μου. Δείτε Διαχείριση εγγραφών DNS στο Το WebOké μου (με παραδείγματα για CNAME, TXT και εξωτερικές υπηρεσίες).
Το αρχείο πολιτικής πρέπει να βρίσκεται στο υποτομέα mta-sts. Στο πακέτο σας μπορείτε να δημιουργήσετε αυτόν τον υποτομέα στο Subdomain Management· το DirectAdmin ζητά τότε αυτόματα ένα πιστοποιητικό SSL για αυτόν. Δείτε Δημιουργία και διαγραφή υποτομέων και Πιστοποιητικό για www, υποτομείς και wildcard. Στον φάκελο του υποτομέα δημιουργήστε έναν φάκελο .well-known που να περιέχει το αρχείο mta-sts.txt.
enforce. Αν κάποιο όνομα διακομιστή αλληλογραφίας είναι λανθασμένο, ή αν το πιστοποιητικό του διακομιστή αλληλογραφίας δεν αντιστοιχεί σε αυτό το όνομα, δεν θα παραλαμβάνετε πλέον αλληλογραφία από αποστολείς που ακολουθούν το MTA-STS. Επιπλέον, το αρχείο πολιτικής πρέπει να μπορεί να ανοίγεται απευθείας: οι αποστολείς δεν ακολουθούν ανακατεύθυνση σε άλλη διεύθυνση. Ξεκινήστε με testing, διαβάστε τις αναφορές TLS-RPT, και σε περίπτωση αμφιβολίας επικοινωνήστε πρώτα μαζί μας.Περισσότερα στοιχεία: RFC 8461 (MTA-STS) και RFC 8460 (TLS-RPT).