TLS bei Email

Ganz einfach, das kommt darauf an, ob die beteiligten MTAs unverschlüsseltes SMTP überhaupt zulassen.


Fallback auf unverschlüsselt, sofern erlaubt.


s.o.


Ganz einfach: Weil es imemrnoch Mailserver gibt, die umnverschlüsselte Mails verschicken oder annehmen.

Es gilt immer abzuwägen, ob das das Zustellen der Mail wichtiger ist oder verschlüsselte Transport. Dementsprechend macht man entweder einen Fallback auf unverschlüsseltes SMTp oder halt nicht.

Wenn einem aber die vertraulichkeit oder Authentizität wichtig ist, nimmt man eine Ende-zu-Ende Verschlüsselung und vertraut nicht auf die Transportverschlüsselung, denn die wirkt nur auf dem Transport. Wenn die Mails auf den MTA "herumliegen", sind sie nämlich sonst unverschlüsselt.

lks

Verschlüsselung == Mehr Rechenzeit == Mehr Kosten

Und es gibt noch legacy-Systeme im Internet aus den Urzeiten, die gar kein SSL/TLS können.

lks

SSL/TLS ist kein SPAMschutz. Das muß auf anderem Wege geschehen.


Pech gehabt.

Also das ist so wie wenn Du einen Briefkasten hast, in den nur Briefe eingeworfen werden können, wenn man einen passenden Schlüssel hat. Dann verpaßt Du ggf. amtliche Schriftstücke, die dann nicht in dem Briefkasten landen und durch "öffentlichen Aushang" (siehe z.B. die Baupläne in "Hitchhikers Guide") bekanntgemacht werden.

Ein Briefkasten muß imho immer so gestaltet sein, daß Dir jeder einen Brief einwerfen kann, auch wenn das ärgerlicherweise manchmal Spam ist. Wenn Ihr Kommunikationspartner habt, die euch vertrauliche Sachen schicken sollen, müßt Ihr mirt denen mal ein ernstes Wörtchen über Ende-zu_Ende-verschlüsselung reden.

Beim, Senden könnt ihr selber entscheiden, ob Ihr eine "Postkarte" oder "einen verschlossenen Brief" schicken wollt und müßt ggf. mit den KOmmunikationspartnern reden, die verschlossene Briefe nicht annehmen (können).

lks

Moin,

TLS hat überhaupt nichts mit SPAMschutz zu tun, solange Du das nicht Clientzertifikat als Grundlage nimmst, nur eine begrenzte Menge an Mail-Einsendern als legitimer "Briefeinwerfer" zu brandmarken. Um es mit einem Bild zu verdeutlichen:

Wenn Du auf ein Gelädner nur Leute mit einem Ausweis reinläßt, aber es letztendlich egal ist, wer (genauer welches land und welche Behörde) den Ausweis ausgestellt hat, kannst Du auch gleich darauf verzichten solche Kontrollen zu machen. TLS ist nur eine Transportsicherung, kein SPAM-Schutz (zumindest bei einem allgemein zugänglichen MTA).


Sicherer als was? Was ist deren Bedrohungsszenario? Solange man nur "sicherer" sagt, ohne das Bedrohungszenario zu nennen und relativ zu was sich dieses "sicherer" bezieht ist das nur Schaumschlägerei.

Das ist genauso wei wenn ich sage "Bargeld ist sicherer", ohne genau auszuführen sicherer als was es ist und gegen welches Bedrohungsszenario es besser schützt.


Natürlich. So ist das auch vorgesehen.



Welche Angriffe soll es denn minimieren? SPAM kann ich Dir auch tonnenweise einliefern, wenn Du ausschließlich TLS1.3 nutzt.



TLS bei Email ist nur eine Transportsicherung. Du kannst Deinen MTA so konfigurieren, daß von bestimmten Absendern Mail nur angenommen wird, wenn diese transportsicherungen verwenden, Aber wenn Du keinen Fallback machst, können Dir halt Leute, die keine "aktuellen" Algorithmen verwenden können keien Mail mehr schicken.

Wenn die IT-leitung wirklich einige Kunden und Lieferanten davon abhalten will, euch mit Mails zu belästigen, könntet ihr auf Fallback verzichten.

lks

PS: Ich verkaufe Euch gerne mal einen oder mehrere Manntage Beratung und "Penetration Test", wenn Deine Leute uneinsichtig sind.

Moin,

Der Sinn von TSL bei SMPT ist, die verbindung zwischen den MTAs vor Außenstehenden zu schüztzen.

Die Annahme ist, daß die MTAs selbst vertrauenswürding sind, was vor allem dann, wenn die direkt unter der Kontrolle des Absenders und des Empfängers sind, einigermaßen zutrifft. Damit auf dem Weg durch die vielen Router-verbindungen vom Start zum Ziele keiner auf der Leitung mithorchen kann, wurde SSL/TLS für SMTPO eingeführt.

Inzwischen ist es aber so, daß viele Mailserver von Hostern betrieben werden und der User nur eingeschränkte Kontrolle über die Hardware und das OS hat,, wenn überhaupt. Wenn man als Prämisse davon ausgeht, daß der Hoster vertrauenswürdig ist, schützt SSL/TLS immer noch den Transportweg und da der Hoster vertrauenswürdign ist, muß die Mail auf dem MTA/MDA nicht verschlüsselt sein.

Ich wiederhole also nochmal: Solange man davon ausgeht, daß die Mailknoten, auf denen die Mail zwischengelagert wird, i.d.R. ist das beim Absender, dem "vertruaenswürdigen Hoster" und dem Empfänger schützt TLS die Mailkommunikation. TLS schützt weder vor SPAM noch vor böswilligen Angriffen!


Due brauchs kein traceroute. das steht alles im mailheader unter in den "Received:"-Zeilen. Dort steht i.d.R. welcher Host zu welchem Zeitpunkt die Mail von welchem Host empfangen hat. Wenn man die in die richtige Reihenfolge bringt hat man i.d.R. eine lückenlose kette vom Absender bis zum MDA des Empfängers. Wenn da zwischendurch eine Lücke ist, hat irgedneiner die Mails manipuliert oder ein Hoster hat die Mail von einem andere System (oder Interface) weitergeschickt als von dem an dem diese eingeliefert wurde.


Das ja, weil die ganzen Systeme die die IP-Pakete weterleiten den Inhalt derTLS-verbindung nicht sehen.


Dagegen überhaupt nciht.

Frag ihn doch einfach, wovor er genaus sich schützen will.


Er ist selbst schuld, wenn er z.B. im geschäftlichen Verkehr in Verzug kommt. Wie schon oben als hinkenden vergleich geschrieben;: als Das ist so, als ob due Deinen Briefkasten nur für Leute öffneste, die passenden Schlüssel haben und Du dann dem Finanzamt, den Gerichten, Ordnungsämtern usw. eine lange Nase drehst und sagst, Ihr seind selbst schuld, wenn ihr mir keine amtlichen Briefe zustellen könnt udn ich daher weder Steuern noch BUßgelder zahlen muß.

(Berechtigte) Abmahnungen auf diem Wege verhindern zu wollen ist z.B. ein Eigentor.

lks

PS: Auch wenn ich gerne helfe, aber langsam kommt das in einen Bereich, wo es von Zeitaufwand her zuviel wird, alles zu haarklein zu erläutern und zu wiederholen. Wenn Ihr da wirklich interesse habt, können wir gerne eine Termin ausmachen oder Ihr holt bei Euch euren lokalen Dienstleister und last das von dem erklären.