Abo
  • Services:

MTA-STS: Neuer Standard sichert Verschlüsselung zwischen Mailservern

Ein neuer Standard soll endlich dafür sorgen, dass die Transportverschlüsselung zwischen Mailservern vernünftig abgesichert wird. Dafür wird über HTTPS eine Policy veröffentlicht.

Artikel veröffentlicht am , Hanno Böck
Die Verschlüsselung von E-Mails ist oft mangelhaft, aber zumindest in Sachen Transportverschlüsselung gibt es jetzt Verbesserungen.
Die Verschlüsselung von E-Mails ist oft mangelhaft, aber zumindest in Sachen Transportverschlüsselung gibt es jetzt Verbesserungen. (Bild: martinak15 / Wikimedia Commons/CC-BY 2.0)

Bei der Verschlüsselung von E-Mails tut sich etwas: Mit MTA-STS gibt es nun einen Standard, der die Absicherung von Verbindungen zwischen Mailservern mittels TLS und Zertifikaten gewährleistet. Dieser wurde von der IETF als RFC 8461 veröffentlicht. Gearbeitet wurde daran seit mehreren Jahren.

Inhalt:
  1. MTA-STS: Neuer Standard sichert Verschlüsselung zwischen Mailservern
  2. Policy wird via HTTPS veröffentlicht
  3. DANE konnte sich nicht durchsetzen

Damit wird ein altes Problem angegangen: Zwar können schon heute Verbindungen zwischen Mailservern mittels STARTTLS verschlüsselt werden, dieses Verfahren hat jedoch mehrere Probleme.

Zum einen ist STARTTLS rein optional. Mit einem Man-in-the-Middle-Angriff kann relativ simpel verhindert werden, dass eine verschlüsselte Verbindung aufgebaut wird. Dafür muss lediglich der entsprechende STARTTLS-Befehl aus der Verbindung herausgefiltert werden.

Zum anderen werden üblicherweise die Zertifikate bei E-Mail-Verbindungen nicht geprüft. Viele Mailhoster nutzen selbstsignierte, abgelaufene oder anderweitig ungültige Zertifikate. Die Zertifikate zu prüfen, würde auch nicht viel bringen: Da Mailserver häufig auf einem anderen Host laufen, der mittels DNS und einem sogenannten MX-Record signalisiert wird, könnte ein Angreifer auch E-Mails schlicht auf seinen eigenen Server umleiten und dort ein gültiges Zertifikat vorzeigen.

STARTTLS schützt nicht vor Man-in-the-Middle-Angriffen

Stellenmarkt
  1. Bosch Gruppe, Berlin
  2. OKI EUROPE LIMITED, Branch Office Düsseldorf, Düsseldorf

STARTTLS bietet aus diesen Gründen keinen Schutz vor aktiven Angreifern und Man-in-the-Middle-Angriffen. Lediglich das rein passive Mitlauschen von Nachrichten kann damit verhindert werden.

Damit fehlt ein wichtiger Baustein für eine sichere Transportverschlüsselung. Verbindungen zwischen Nutzern und Servern finden heutzutage in aller Regel sicher verschlüsselt statt, entweder über die entsprechenden TLS-gesicherten Varianten von IMAP, POP3 und SMTP oder über ein HTTPS-Interface. Doch die Verbindungen zwischen den Servern sind bislang weitgehend ungeschützt.

Mit MTA-STS soll das nun anders werden. Dafür können Betreiber von Mailservern eine Policy definieren, die mittels HTTPS publiziert wird. Um MTA-STS zu nutzen, legt ein Mailserverbetreiber zunächst im DNS-Server einen TXT-Record an, der signalisiert, dass eine solche Policy vorhanden ist. Der Betreiber des Mailservers example.org würde beispielsweise unter _mta-sts.example.org im DNS folgenden Inhalt ablegen:

v=STSv1; id=96f68b7b71559074ee63475479dc4b15

Der erste Teil - v=STSv1 - gibt die Version des Standards an. Da es bislang nur eine Version von MTA-STS gibt, steht hier immer dasselbe. Die ID kann vom Serverbetreiber als eine Art Versionsnummer für die Policy gewählt werden. Sie besteht aus maximal 32 Zeichen und darf nur Zahlen und Buchstaben enthalten. Sie dient dem Caching von Policies. Die ID muss daher geändert werden, wenn eine neue Policy publiziert wird.

Policy wird via HTTPS veröffentlicht 
  1. 1
  2. 2
  3. 3
  4.  


Anzeige
Spiele-Angebote
  1. 42,49€
  2. 2,49€
  3. 13,49€
  4. 19,95€

tsp 02. Okt 2018

"Offen" einsehbar im Sinne von Kostenlos verfügbar stimmt definitiv nicht für jeden...

tsp 01. Okt 2018

Der ist allerdings signifikant simpler als ein kompletter HTTP Stack (+ Parser für das...

RipClaw 30. Sep 2018

Das ist praktisch bei jedem Dienst den man ernsthaft betreibt so das es eine...

RipClaw 29. Sep 2018

Danke für den Hinweis. Die Software kannte ich bisher noch nicht. Scheint ja ziemlich...

freebyte 29. Sep 2018

Die Verpflichtung zur Verschlüsslung hat die BaFin in DE durch die Hintertür bereits...


Folgen Sie uns
       


Vier drahtlose Gaming-Headsets im Test

Zu oft stolpert Golem.de beim Spielen über nervende Kabel. Deshalb testen wir vier Headsets, die auf Kabel verzichten, aber sehr unterschiedlich sind. Von vibrierenden Motoren bis zu ungewöhnlich gutem Sound ist alles dabei. Wir haben auch einen Favoriten.

Vier drahtlose Gaming-Headsets im Test Video aufrufen
Yuneec H520: 3D-Modell aus der Drohne
Yuneec H520
3D-Modell aus der Drohne

Multikopter werden zunehmend auch kommerziell verwendet. Vor allem machen die Drohnen Luftbilder und Inspektionsflüge und vermessen. Wir haben in der Praxis getestet, wie gut das mit dem Yuneec H520 funktioniert.
Von Dirk Koller


    Google Nachtsicht im Test: Starke Nachtaufnahmen mit dem Pixel
    Google Nachtsicht im Test
    Starke Nachtaufnahmen mit dem Pixel

    Gut einen Monat nach der Vorstellung der neuen Pixel-Smartphones hat Google die Kamerafunktion Nachtsicht vorgestellt. Mit dieser lassen sich tolle Nachtaufnahmen machen, die mit denen von Huaweis Nachtmodus vergleichbar sind - und dessen Qualität bei Selbstporträts deutlich übersteigt.
    Ein Test von Tobias Költzsch

    1. Pixel 3 Google patcht Probleme mit Speichermanagement
    2. Smartphone Google soll Pixel 3 Lite mit Kopfhörerbuchse planen
    3. Google Dem Pixel 3 XL wächst eine zweite Notch

    Machine Learning: Wie Technik jede Stimme stehlen kann
    Machine Learning
    Wie Technik jede Stimme stehlen kann

    Ein Unternehmen aus Südkorea arbeitet daran, Stimmen reproduzierbar und neu generierbar zu machen. Was für viele Branchen enorme Kosteneinsparungen bedeutet, könnte auch eine neue Dimension von Fake News werden.
    Ein Bericht von Felix Lill

    1. AWS Amazon bietet seine Machine-Learning-Tutorials kostenlos an
    2. Random Forest, k-Means, Genetik Machine Learning anhand von drei Algorithmen erklärt
    3. Machine Learning Amazon verwirft sexistisches KI-Tool für Bewerber

      •  /