Abo
  • Services:
Anzeige
Ein neuer Standard soll für bessere Verschlüsselung zwischen Mailservern sorgen.
Ein neuer Standard soll für bessere Verschlüsselung zwischen Mailservern sorgen. (Bild: ItalianLocksmith / Wikimedia Commons/CC-BY-SA 3.0)

SMTP STS: Bessere Transportverschlüsselung zwischen Mailservern

Ein neuer Standard soll für bessere Verschlüsselung zwischen Mailservern sorgen.
Ein neuer Standard soll für bessere Verschlüsselung zwischen Mailservern sorgen. (Bild: ItalianLocksmith / Wikimedia Commons/CC-BY-SA 3.0)

Ein Entwurf für einen neuen Standard soll die Kommunikation zwischen Mailservern auf SMTP-Ebene besser absichern. Zwar kann man die auch jetzt schon verschlüsseln, aber für aktive Angreifer ist es einfach, die Verschlüsselung auszuschalten.

Mailserver kommunizieren untereinander über das SMTP-Protokoll, das klassischerweise unverschlüsselt ist. Mit STARTTLS-Erweiterung ist es zwar möglich, die SMTP-Kommunikation zu verschlüsseln, aber dies hat in der bisherigen Form einige Haken. Für einen Angreifer, der den Datenverkehr manipulieren kann, ist es trivial möglich, die Verschlüsselung auszuschalten. Auch wird die Gültigkeit der TLS-Zertifikate üblicherweise nicht geprüft, da oft selbstsignierte Zertifikate zum Einsatz kommen. Ein Entwurf für einen neuen Standard mit dem Namen SMTP Strict Transport Security (SMTP STS) versucht, hier nun Abhilfe zu schaffen.

Anzeige

Die Verschlüsselung mittels STARTTLS bietet bislang zwar einen Schutz gegen rein passives Belauschen der Verbindung, aber gegen aktive Angreifer ist sie völlig nutzlos. Es gab bereits in der Vergangenheit verschiedene Versuche, diese Lücke zu schließen, doch keine der bisherigen Lösungen konnte sich durchsetzen.

Bisherige Ansätze konnten sich nicht durchsetzen

Die umstrittene Initiative "E-Mail Made in Germany" nutzt ein eigenes proprietäres Verfahren, um den Datenverkehr zwischen den Mailservern abzusichern. Doch dieses Verfahren kann nur von den beteiligten Unternehmen genutzt werden. Um teilzunehmen ist eine teure TÜV-Zertifizierung nötig. Ein Versuch der US-Bürgerrechtsorganisation EFF, SMTP besser abzusichern, kam bisher nicht aus dem Experimentierstadium.

Einige Unternehmen propagieren das DANE-Verfahren, das auf DNSSEC basiert, um Zertifikate zu prüfen. Doch dass DANE jemals in großem Maßstab zum Einsatz kommt, erscheint unwahrscheinlich. Aus den Reihen großer IT-Unternehmen und von IT-Sicherheitsspezialisten gab es immer wieder heftige Kritik an DNSSEC: zu kompliziert, schlecht designt, zahlreiche Probleme bei der Sicherheit und beim Deployment. Bisher nutzt nur eine Handvoll kleinerer Mailanbieter DANE, die meisten davon kommen aus Deutschland.

Große Mailprovider unterstützen SMTP STS

Der neue SMTP-STS-Standard dürfte deutlich bessere Chancen haben, auch praktisch von den großen E-Mail-Anbietern umgesetzt zu werden. Unter den Autoren des Entwurfs befinden sich Mitarbeiter von Google, Yahoo, Microsoft und 1&1, der Firma, die die insbesondere in Deutschland beliebten Freemail-Angebote Gmx und Web.de betreibt. Wenn alle an SMTP STS beteiligten Firmen den Standard umsetzen, dürfte dies bereits einen Großteil des weltweiten Mailverkehrs erfassen.

Bei SMTP STS wird über DNS eine Policy abgelegt, die dem Sender mitteilt, dass Verbindungen verschlüsselt stattfinden sollen. Die Policy kann entweder über eine HTTPS-Verbindung verifiziert werden oder - alternativ - auch über DANE abgesichert werden. Damit ist eine gewisse Kompatibilität zum bestehenden DANE-System vorgesehen. Die Policy hat eine Gültigkeitsdauer, die mehrere Wochen betragen sollte.

Der Name von SMTP STS ist angelehnt an die Technologie HSTS (HTTP Strict Transport Security), die für HTTPS-Verbindungen zum Einsatz kommt. Doch trotz dieser Namensähnlichkeit unterscheiden sich die beiden Ansätze vom Konzept her. Bei HSTS wird über die bereits abgesicherte HTTPS-Verbindung ein Header mitgeschickt, der dem Browser signalisiert, dass Verbindungen für einen bestimmten Zeitraum nur über HTTPS stattfinden sollen. Es wird also derselbe Kanal genutzt, während SMTP STS über DNS und HTTPS einen anderen Kanal zum Abruf der Policy benutzt.

Da es sich um einen ersten Entwurf handelt, dürfte es noch einige Diskussionen geben, bis dieser verabschiedet wird. Diskutiert wird der Entwurf in der UTA-Arbeitsgruppe der IETF.


eye home zur Startseite
bjs 27. Mär 2016

War das ein Redaktionsbeschluss, andauernd immer wieder DNSSEC-Bashing zu betreiben...

Nocta 24. Mär 2016

Ich frage mich trotzdem, wo ihm persönlich ein eigenes Zertifikat mehr Schutz "gegen...

RipClaw 23. Mär 2016

Der Gewinn ist das man über einen zweiten Weg überprüfen kann ob der Server STARTTLS...

Niantic 23. Mär 2016

Ohne sticheln zu wollen, was meinen sie wie viele der leser hier die electronic frontier...



Anzeige

Stellenmarkt
  1. über HRM CONSULTING GmbH, Konstanz (Home-Office)
  2. Automotive Safety Technologies GmbH, Gaimersheim
  3. AVL List GmbH, Graz (Österreich)
  4. WKM GmbH, München


Anzeige
Top-Angebote
  1. (u. a. Laptops, Werkzeuge, Outdoor-Spielzeug, Grills usw.)
  2. (u. a. Bose Soundlink Mini Bluetooth Speaker II 149,90€, Bose SOUNDSPORT PULSE WIRELESS 174,90€)

Folgen Sie uns
       


  1. Ubisoft

    Far Cry 5 bietet Kampf gegen Sekte in und über Montana

  2. Rockstar Games

    Waffenschiebereien in GTA 5

  3. Browser-Games

    Unreal Engine 4.16 unterstützt Wasm und WebGL 2.0

  4. Hasskommentare

    Bundesrat fordert zahlreiche Änderungen an Maas-Gesetz

  5. GVFS

    Windows-Team nutzt fast vollständig Git

  6. Netzneutralität

    Verbraucherschützer wollen Verbot von Stream On der Telekom

  7. Wahlprogramm

    SPD fordert Anzeigepflicht für "relevante Inhalte" im Netz

  8. Funkfrequenzen

    Bundesnetzagentur und Alibaba wollen Produkte sperren

  9. Elektromobilität

    Qualcomm lädt E-Autos während der Fahrt auf

  10. Microsoft

    Mixer soll schneller streamen als Youtube Gaming und Twitch



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Panasonic Lumix GH5 im Test: Die Kamera, auf die wir gewartet haben
Panasonic Lumix GH5 im Test
Die Kamera, auf die wir gewartet haben
  1. Die Woche im Video Scharfes Video, spartanisches Windows, spaßige Switch

Asus B9440 im Test: Leichtes Geschäftsnotebook liefert zu wenig Business
Asus B9440 im Test
Leichtes Geschäftsnotebook liefert zu wenig Business
  1. ROG-Event in Berlin Asus zeigt gekrümmtes 165-Hz-Quantum-Dot-Display und mehr

Elektromobilität: Wie kommt der Strom in die Tiefgarage?
Elektromobilität
Wie kommt der Strom in die Tiefgarage?
  1. Elektroauto Tesla gewährt rückwirkend Supercharger-Gratisnutzung
  2. Elektroautos Merkel hofft auf Bau von Batteriezellen in Deutschland
  3. Strategische Entscheidung Volvo setzt voll auf Elektro und trennt sich vom Diesel

  1. "Besser sei es, Tarife anzubieten, die ein...

    h4z4rd | 17:07

  2. Riesenerfolg von GTA 5 Online

    KTVStudio | 17:04

  3. Re: Viele Anti-Cheat-Strategien

    Hotohori | 17:00

  4. Re: Wie mache ich den Wählern ...

    Sea | 16:57

  5. Es ist übrigens das erste Far Cry, das in den USA...

    Lutzol | 16:52


  1. 16:40

  2. 16:29

  3. 16:27

  4. 15:15

  5. 13:35

  6. 13:17

  7. 13:05

  8. 12:30


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel