Abo
  • Services:

MTA-STS: Neuer Standard sichert Verschlüsselung zwischen Mailservern

Ein neuer Standard soll endlich dafür sorgen, dass die Transportverschlüsselung zwischen Mailservern vernünftig abgesichert wird. Dafür wird über HTTPS eine Policy veröffentlicht.

Artikel veröffentlicht am , Hanno Böck
Die Verschlüsselung von E-Mails ist oft mangelhaft, aber zumindest in Sachen Transportverschlüsselung gibt es jetzt Verbesserungen.
Die Verschlüsselung von E-Mails ist oft mangelhaft, aber zumindest in Sachen Transportverschlüsselung gibt es jetzt Verbesserungen. (Bild: martinak15 / Wikimedia Commons/CC-BY 2.0)

Bei der Verschlüsselung von E-Mails tut sich etwas: Mit MTA-STS gibt es nun einen Standard, der die Absicherung von Verbindungen zwischen Mailservern mittels TLS und Zertifikaten gewährleistet. Dieser wurde von der IETF als RFC 8461 veröffentlicht. Gearbeitet wurde daran seit mehreren Jahren.

Inhalt:
  1. MTA-STS: Neuer Standard sichert Verschlüsselung zwischen Mailservern
  2. Policy wird via HTTPS veröffentlicht
  3. DANE konnte sich nicht durchsetzen

Damit wird ein altes Problem angegangen: Zwar können schon heute Verbindungen zwischen Mailservern mittels STARTTLS verschlüsselt werden, dieses Verfahren hat jedoch mehrere Probleme.

Zum einen ist STARTTLS rein optional. Mit einem Man-in-the-Middle-Angriff kann relativ simpel verhindert werden, dass eine verschlüsselte Verbindung aufgebaut wird. Dafür muss lediglich der entsprechende STARTTLS-Befehl aus der Verbindung herausgefiltert werden.

Zum anderen werden üblicherweise die Zertifikate bei E-Mail-Verbindungen nicht geprüft. Viele Mailhoster nutzen selbstsignierte, abgelaufene oder anderweitig ungültige Zertifikate. Die Zertifikate zu prüfen, würde auch nicht viel bringen: Da Mailserver häufig auf einem anderen Host laufen, der mittels DNS und einem sogenannten MX-Record signalisiert wird, könnte ein Angreifer auch E-Mails schlicht auf seinen eigenen Server umleiten und dort ein gültiges Zertifikat vorzeigen.

STARTTLS schützt nicht vor Man-in-the-Middle-Angriffen

Stellenmarkt
  1. AIC Group GmbH, Lüneburg
  2. über DIS AG, Münster

STARTTLS bietet aus diesen Gründen keinen Schutz vor aktiven Angreifern und Man-in-the-Middle-Angriffen. Lediglich das rein passive Mitlauschen von Nachrichten kann damit verhindert werden.

Damit fehlt ein wichtiger Baustein für eine sichere Transportverschlüsselung. Verbindungen zwischen Nutzern und Servern finden heutzutage in aller Regel sicher verschlüsselt statt, entweder über die entsprechenden TLS-gesicherten Varianten von IMAP, POP3 und SMTP oder über ein HTTPS-Interface. Doch die Verbindungen zwischen den Servern sind bislang weitgehend ungeschützt.

Mit MTA-STS soll das nun anders werden. Dafür können Betreiber von Mailservern eine Policy definieren, die mittels HTTPS publiziert wird. Um MTA-STS zu nutzen, legt ein Mailserverbetreiber zunächst im DNS-Server einen TXT-Record an, der signalisiert, dass eine solche Policy vorhanden ist. Der Betreiber des Mailservers example.org würde beispielsweise unter _mta-sts.example.org im DNS folgenden Inhalt ablegen:

v=STSv1; id=96f68b7b71559074ee63475479dc4b15

Der erste Teil - v=STSv1 - gibt die Version des Standards an. Da es bislang nur eine Version von MTA-STS gibt, steht hier immer dasselbe. Die ID kann vom Serverbetreiber als eine Art Versionsnummer für die Policy gewählt werden. Sie besteht aus maximal 32 Zeichen und darf nur Zahlen und Buchstaben enthalten. Sie dient dem Caching von Policies. Die ID muss daher geändert werden, wenn eine neue Policy publiziert wird.

Policy wird via HTTPS veröffentlicht 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Spiele-Angebote
  1. für 2€ (nur für Neukunden)
  2. 5,99€
  3. 32,99€
  4. (-80%) 1,99€

ikhaya 06. Feb 2019

Es geht immer darum die Latte so hoch wie möglich zu legen. Wenn etwas sicherer ist als...

tsp 02. Okt 2018

"Offen" einsehbar im Sinne von Kostenlos verfügbar stimmt definitiv nicht für jeden...

RipClaw 30. Sep 2018

Das ist praktisch bei jedem Dienst den man ernsthaft betreibt so das es eine...

RipClaw 29. Sep 2018

Danke für den Hinweis. Die Software kannte ich bisher noch nicht. Scheint ja ziemlich...

freebyte 29. Sep 2018

Die Verpflichtung zur Verschlüsslung hat die BaFin in DE durch die Hintertür bereits...


Folgen Sie uns
       


Anno 1800 angespielt

Anno 1800 in der Vorschau: Wir konnten Blue Bytes Aufbautitel einige Zeit lang spielen, genauer gesagt, bis einschließlich der dritten von fünf Zivilisationsstufen. Anno 1800 orientiert sich mehr an Anno 1404 und nicht an den in der Zukunft angesiedelten direkten Vorgängern.

Anno 1800 angespielt Video aufrufen
Alienware m15 vs Asus ROG Zephyrus M: Gut gekühlt ist halb gewonnen
Alienware m15 vs Asus ROG Zephyrus M
Gut gekühlt ist halb gewonnen

Wer auf LAN-Partys geht, möchte nicht immer einen Tower schleppen. Ein Gaming-Notebook wie das Alienware m15 und das Asus ROG Zephyrus M tut es auch, oder? Golem.de hat beide ähnlich ausgestatteten Notebooks gegeneinander antreten lassen und festgestellt: Die Kühlung macht den Unterschied.
Ein Test von Oliver Nickel

  1. Alienware m17 Dell packt RTX-Grafikeinheit in sein 17-Zoll-Gaming-Notebook
  2. Interview Alienware "Keiner baut dir einen besseren Gaming-PC als du selbst!"
  3. Dell Alienware M15 wird schlanker und läuft 17 Stunden

Chromebook Spin 13 im Alltagstest: Tolles Notebook mit Software-Bremse
Chromebook Spin 13 im Alltagstest
Tolles Notebook mit Software-Bremse

Bei Chromebooks denken viele an billige, knarzende Laptops - das Spin 13 von Acer ist anders. Wir haben es einen Monat lang verwendet - und uns am Ende gefragt, ob der veranschlagte Preis für ein Notebook mit Chrome OS wirklich gerechtfertigt ist.
Ein Test von Tobias Költzsch


    Enterprise Resource Planning: Drei Gründe für das Scheitern von SAP-Projekten
    Enterprise Resource Planning
    Drei Gründe für das Scheitern von SAP-Projekten

    Projekte mit der Software von SAP? Da verdrehen viele IT-Experten die Augen. Prominente Beispiele von Lidl und Haribo aus dem vergangenen Jahr scheinen diese These zu bestätigen: Gerade SAP-Projekte laufen selten in time, in budget und in quality. Dafür gibt es Gründe - und Gegenmaßnahmen.
    Von Markus Kammermeier


        •  /