Verschlüsselung: Sicherheitsrisiko STARTTLS

Das STARTTLS-Verfahren hat zahlreiche Sicherheitsrisiken. Überall, wo es möglich ist, hat die direkte Nutzung von TLS nur Vorteile.

Artikel von Hanno Böck veröffentlicht am 9. August 2021, 13:01 Uhr

STARTTLS ist extrem fehleranfällig und sollte nach Möglichkeit vermieden werden. (Bild: Foxitalic/CC0 1.0)

Für zahlreiche Internetprotokolle, darunter die E-Mail-Protokolle IMAP, POP3 und SMTP, gibt es einen Mechanismus namens STARTTLS, der es möglich macht, zunächst unverschlüsselte Verbindungen auf TLS-Verschlüsselung umzuschalten. Doch das Verfahren hat eine Reihe von Sicherheitsproblemen, die jetzt erstmals von mir und anderen Forschern ausführlich untersucht wurden. Ein entsprechendes wissenschaftliches Paper wird auf der Usenix-Konferenz veröffentlicht.

Für Nutzer von Mailapplikationen gibt es traditionell zwei unterschiedliche Möglichkeiten, ihre Verbindungen zu verschlüsseln. Zum einen gibt es für jedes der drei Mailprotokolle SMTP, IMAP und POP3 die Möglichkeit, es auf einem eigenen TLS-Port in einer sicheren Variante zu nutzen. Hierbei wird die Verbindung von Anfang an verschlüsselt, diese Möglichkeit wird auch als implizites TLS bezeichnet.

Zum anderen gibt es die Möglichkeit, die Verbindung zunächst unverschlüsselt aufzubauen. Der Server kann dann den STARTTLS-Befehl anbieten und der Client kann durch Senden dieses Befehls einen TLS-Handshake initiieren.

Früher wurde STARTTLS teilweise so genutzt, dass es als optionaler, opportunistischer Sicherheitsmechanismus angesehen wurde. In diesem opportunistischen Modus würde ein Client STARTTLS zwar nutzen, wenn es angeboten wird, ansonsten aber auch unverschlüsselt die Verbindung fortsetzen. Eine solche opportunistische Verwendung schützt nicht vor aktiven Angreifern, denn diese können die Nachrichten des Servers einfach so verändern, dass kein STARTTLS angeboten wird.

STARTTLS ist extrem fehleranfällig

Doch in modernen Clients wird STARTTLS üblicherweise erzwungen. Wenn der Server kein STARTTLS anbietet, beendet der Client die Verbindung. Naiverweise könnte man annehmen, dass ein solches Erzwingen dieselbe Sicherheit bietet wie implizites TLS. Doch das ist nicht der Fall, denn die Implementierung von STARTTLS ist extrem fehleranfällig.

Bereits 2011 fand Wietse Venema, ein Entwickler des Mailservers Postfix, heraus, dass viele Mailserver für eine Sicherheitslücke anfällig waren, bei der ein Angreifer unverschlüsselt gesendete Kommandos einschleusen konnte, die vom Server so interpretiert wurden, als seien sie Teil einer verschlüsselten Verbindung. Die Befehle müssen hier lediglich an das noch nicht geschützte STARTTLS-Kommando angehängt und mit demselben TCP-Paket mitgeschickt werden.