Abo
  • Services:

MTA-STS: Neuer Standard sichert Verschlüsselung zwischen Mailservern

Ein neuer Standard soll endlich dafür sorgen, dass die Transportverschlüsselung zwischen Mailservern vernünftig abgesichert wird. Dafür wird über HTTPS eine Policy veröffentlicht.

Artikel veröffentlicht am , Hanno Böck
Die Verschlüsselung von E-Mails ist oft mangelhaft, aber zumindest in Sachen Transportverschlüsselung gibt es jetzt Verbesserungen.
Die Verschlüsselung von E-Mails ist oft mangelhaft, aber zumindest in Sachen Transportverschlüsselung gibt es jetzt Verbesserungen. (Bild: martinak15 / Wikimedia Commons/CC-BY 2.0)

Bei der Verschlüsselung von E-Mails tut sich etwas: Mit MTA-STS gibt es nun einen Standard, der die Absicherung von Verbindungen zwischen Mailservern mittels TLS und Zertifikaten gewährleistet. Dieser wurde von der IETF als RFC 8461 veröffentlicht. Gearbeitet wurde daran seit mehreren Jahren.

Inhalt:
  1. MTA-STS: Neuer Standard sichert Verschlüsselung zwischen Mailservern
  2. Policy wird via HTTPS veröffentlicht
  3. DANE konnte sich nicht durchsetzen

Damit wird ein altes Problem angegangen: Zwar können schon heute Verbindungen zwischen Mailservern mittels STARTTLS verschlüsselt werden, dieses Verfahren hat jedoch mehrere Probleme.

Zum einen ist STARTTLS rein optional. Mit einem Man-in-the-Middle-Angriff kann relativ simpel verhindert werden, dass eine verschlüsselte Verbindung aufgebaut wird. Dafür muss lediglich der entsprechende STARTTLS-Befehl aus der Verbindung herausgefiltert werden.

Zum anderen werden üblicherweise die Zertifikate bei E-Mail-Verbindungen nicht geprüft. Viele Mailhoster nutzen selbstsignierte, abgelaufene oder anderweitig ungültige Zertifikate. Die Zertifikate zu prüfen, würde auch nicht viel bringen: Da Mailserver häufig auf einem anderen Host laufen, der mittels DNS und einem sogenannten MX-Record signalisiert wird, könnte ein Angreifer auch E-Mails schlicht auf seinen eigenen Server umleiten und dort ein gültiges Zertifikat vorzeigen.

STARTTLS schützt nicht vor Man-in-the-Middle-Angriffen

Stellenmarkt
  1. Robert Bosch GmbH, Leonberg
  2. PSI Software AG Geschäftsbereich PSI Energie EE, Aschaffenburg

STARTTLS bietet aus diesen Gründen keinen Schutz vor aktiven Angreifern und Man-in-the-Middle-Angriffen. Lediglich das rein passive Mitlauschen von Nachrichten kann damit verhindert werden.

Damit fehlt ein wichtiger Baustein für eine sichere Transportverschlüsselung. Verbindungen zwischen Nutzern und Servern finden heutzutage in aller Regel sicher verschlüsselt statt, entweder über die entsprechenden TLS-gesicherten Varianten von IMAP, POP3 und SMTP oder über ein HTTPS-Interface. Doch die Verbindungen zwischen den Servern sind bislang weitgehend ungeschützt.

Mit MTA-STS soll das nun anders werden. Dafür können Betreiber von Mailservern eine Policy definieren, die mittels HTTPS publiziert wird. Um MTA-STS zu nutzen, legt ein Mailserverbetreiber zunächst im DNS-Server einen TXT-Record an, der signalisiert, dass eine solche Policy vorhanden ist. Der Betreiber des Mailservers example.org würde beispielsweise unter _mta-sts.example.org im DNS folgenden Inhalt ablegen:

v=STSv1; id=96f68b7b71559074ee63475479dc4b15

Der erste Teil - v=STSv1 - gibt die Version des Standards an. Da es bislang nur eine Version von MTA-STS gibt, steht hier immer dasselbe. Die ID kann vom Serverbetreiber als eine Art Versionsnummer für die Policy gewählt werden. Sie besteht aus maximal 32 Zeichen und darf nur Zahlen und Buchstaben enthalten. Sie dient dem Caching von Policies. Die ID muss daher geändert werden, wenn eine neue Policy publiziert wird.

Policy wird via HTTPS veröffentlicht 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Blu-ray-Angebote
  1. (u. a. Game Night 5,98€, Maze Runner 6,98€, Coco 5,98€)

tsp 02. Okt 2018 / Themenstart

"Offen" einsehbar im Sinne von Kostenlos verfügbar stimmt definitiv nicht für jeden...

tsp 01. Okt 2018 / Themenstart

Der ist allerdings signifikant simpler als ein kompletter HTTP Stack (+ Parser für das...

RipClaw 30. Sep 2018 / Themenstart

Das ist praktisch bei jedem Dienst den man ernsthaft betreibt so das es eine...

RipClaw 29. Sep 2018 / Themenstart

Danke für den Hinweis. Die Software kannte ich bisher noch nicht. Scheint ja ziemlich...

freebyte 29. Sep 2018 / Themenstart

Die Verpflichtung zur Verschlüsslung hat die BaFin in DE durch die Hintertür bereits...

Kommentieren


Folgen Sie uns
       


Infiltrator Demo mit DLSS und TAA

Wir haben die Infiltrator Demo auf einer Nvidia Geforce RTX 2080 Ti mit DLSS und TAA ablaufen lassen.

Infiltrator Demo mit DLSS und TAA Video aufrufen
Life is Strange 2 im Test: Interaktiver Road-Movie-Mystery-Thriller
Life is Strange 2 im Test
Interaktiver Road-Movie-Mystery-Thriller

Keine heile Teenagerwelt mit Partys und Liebeskummer: Allein in den USA der Trump-Ära müssen zwei Brüder mit mexikanischen Wurzeln in Life is Strange 2 nach einem mysteriösen Unfall überleben. Das Adventure ist bewegend und spannend - trotz eines grundsätzlichen Problems.
Von Peter Steinlechner

  1. Adventure Leisure Suit Larry landet im 21. Jahrhundert

Kaufberatung: Der richtige smarte Lautsprecher
Kaufberatung
Der richtige smarte Lautsprecher

Der Markt für smarte Lautsprecher wird immer größer. Bei der Entscheidung für ein Gerät sind Kaufpreis und Klang wichtig, ebenso die Wahl für einen digitalen Assistenten: Alexa, Google Assistant oder Siri? Wir geben eine Übersicht.
Von Ingo Pakalski

  1. Amazon Alexa Echo Sub verhilft Echo-Lautsprechern zu mehr Bass
  2. Beosound 2 Bang & Olufsen bringt smarten Lautsprecher für 2.000 Euro
  3. Google und Amazon Markt für smarte Lautsprecher wächst weiter stark

Athlon 200GE im Test: Celeron und Pentium abgehängt
Athlon 200GE im Test
Celeron und Pentium abgehängt

Mit dem Athlon 200GE belebt AMD den alten CPU-Markennamen wieder: Der Chip gefällt durch seine Zen-Kerne und die integrierte Vega-Grafikeinheit, die Intel-Konkurrenz hat dem derzeit preislich wenig entgegenzusetzen.
Ein Test von Marc Sauter

  1. AMD Threadripper erhalten dynamischen NUMA-Modus
  2. HP Elitedesk 705 Workstation Edition Minitower mit AMD-CPU startet bei 680 Euro
  3. Ryzen 5 2600H und Ryzen 7 2800H 45-Watt-CPUs mit Vega-Grafik für Laptops sind da

    •  /