MTA-STS un TLS-RPT īsumā
MTA-STS un TLS-RPT ir divi domēna iestatījumi, kas attiecas uz Jums ienākošo vēstuļu šifrēšanu. Jūs tos sastopat tādos testos kā internet.nl vai drošības skenēšanas pārskatā. Šajā rakstā Jūs uzzināsiet, ko tie dara, kā tie izskatās un vai Jums tie ir nepieciešami. Īsa atbilde jau iepriekš: lielākajai daļai klientu tas nav nepieciešams.
Ko tas atrisina?
Kad pasta serveris piegādā vēstuli saņēmēja pasta serverim, tie, ja iespējams, šifrē savienojumu (STARTTLS). Ja tas neizdodas, vēstule parasti vienkārši tiek nosūtīta nešifrēti. Arī saņemošā servera sertifikāts bieži netiek stingri pārbaudīts. Kāds, kurš var pārveidot datplūsmu ceļā, šādi var izslēgt šifrēšanu vai novirzīt vēstuli uz savu serveri.
Izmantojot MTA-STS, Jūs kā saņēmējs paziņojat: vēstulēm uz manu domēnu vienmēr jābūt šifrētām, un tās drīkst sūtīt tikai uz šiem pasta serveriem ar derīgu sertifikātu. Sūtītājs, kas atbalsta MTA-STS, to ievēro.
Divas MTA-STS sastāvdaļas
1. TXT ieraksts ar nosaukumu _mta-sts, kas norāda, ka pastāv politika:
_mta-sts.jouwdomein.nl. TXT "v=STSv1; id=20261108T120000;"
id ir versijas numurs, ko Jūs izvēlaties paši. Mainot politiku, mainiet arī id, lai sūtītāji iegūtu jauno politiku.
2. Politikas fails, kas pieejams tieši šajā adresē, izmantojot https ar derīgu sertifikātu:
https://mta-sts.jouwdomein.nl/.well-known/mta-sts.txt version: STSv1 mode: testing mx: linux2023.webawere.nl max_age: 604800
| Rinda | Nozīme |
|---|---|
mode: testing | Sūtītāji piegādā vēstules kā parasti, bet par problēmām ziņo, izmantojot TLS-RPT. Ar šo Jūs sākat. |
mode: enforce | Sūtītāji piegādā vēstules tikai, izmantojot šifrētu savienojumu ar derīgu sertifikātu, uz kādu no norādītajiem pasta serveriem. Ja tas neizdodas, vēstule paliek rindā pie sūtītāja. |
mode: none | Politikas (vairs) nav. |
mx: | Jūsu pasta servera nosaukums, tieši tāds, kā norādīts Jūsu MX ierakstā. Ja Jums ir vairāki MX ieraksti, katru nosaukumu norādiet atsevišķā rindā. WebOké pakotnē tas parasti ir Jūsu pakotnes servera nosaukums, kā piemērā; mūsu pasta servera sertifikāts ir izsniegts tieši šim nosaukumam. Ja Jūsu MX norāda uz Jūsu paša domēna nosaukumu, sertifikāts tam, iespējams, neatbildīs, un enforce režīmu izmantot nedrīkst. |
max_age: | Cik ilgi sūtītājs drīkst atcerēties politiku, sekundēs. 604800 ir viena nedēļa. |
Sūtītājs atceras politiku. Tādēļ MTA-STS neaizsargā tieši pašā pirmajā reizē, kad sūtītājs Jums nosūta vēstuli, bet pēc tam gan.
TLS-RPT: pārskati par šifrēšanu
Izmantojot TLS-RPT, Jūs lūdzat sūtītājiem ikdienas pārskatu par neveiksmīgu šifrēšanu, piemēram, novecojuša sertifikāta dēļ vai pasta servera nosaukuma dēļ, kas nav iekļauts Jūsu politikā. Tas ir viens TXT ieraksts ar nosaukumu _smtp._tls:
_smtp._tls.jouwdomein.nl. TXT "v=TLSRPTv1; rua=mailto:tlsrapport@jouwdomein.nl"
Pārskati ir tehniski faili (JSON). Tāpat kā DMARC pārskatiem, izmantojiet tiem atsevišķu pastkasti. Skatiet DMARC pārskata lasīšana.
Secība: vispirms TLS-RPT, tad MTA-STS režīmā testing, dažas nedēļas lasiet pārskatus, un tikai pēc tam enforce.
MTA-STS vai DANE?
DANE dara to pašu citā veidā: Jūsu pasta servera sertifikāta nospiedums ir norādīts DNS (TLSA ieraksts), aizsargāts ar DNSSEC. DANE aizsargā arī pirmo savienojumu, bet darbojas tikai tad, ja DNSSEC ir ieslēgts. MTA-STS DNSSEC nav nepieciešams, bet gan tīmekļa vietne ar sertifikātu. Jūs varat tos izmantot vienlaikus; sūtītājs, kas atbalsta DANE, tad dod priekšroku DANE.
Ja Jūsu pasts atrodas pie WebOké, Jūs varat ieslēgt DANE pakalpojumā Mans WebOké tajā pašā vietā, kur DNSSEC. Pēc tam WebOké pats uztur TLSA ierakstus. Izlasiet DNSSEC un DANE un Internet.nl kontrolsaraksts: sasniedziet 100% savai tīmekļa vietnei un e-pastam.
Vai Jums tas ir nepieciešams?
Lielākajai daļai klientu nē. Mūsdienās pasta vēstules starp lielajiem pasta serveriem gandrīz vienmēr tiek šifrētas, un, ja vēlaties papildus aizsargāt savu pastu pie WebOké, DANE ir vienkāršākais solis. MTA-STS ir noderīgs galvenokārt tad, ja Jūsu organizācija to pieprasa vai ja Jūs gaidāt saņēmējus, kuri izmanto MTA-STS, bet neizmanto DANE. Jūsu paša izejošajam pastam nekas nav jāiestata: to nosaka serveris, kas sūta Jūsu pastu.
Pašrocīga iestatīšana hostinga pakotnē
Abus TXT ierakstus Jūs varat iestatīt DNS Management sadaļā DirectAdmin vai cilnē DNS pakalpojumā Mans WebOké. Skatiet DNS ierakstu pārvaldība pakalpojumā Mans WebOké (ar piemēriem CNAME, TXT un ārējiem pakalpojumiem).
Politikas failam jāatrodas apakšdomēnā mta-sts. Jūsu pakotnē šo apakšdomēnu varat izveidot sadaļā Subdomain Management; DirectAdmin tad pats pieprasīs tam SSL sertifikātu. Skatiet Apakšdomēnu izveide un dzēšana un Sertifikāts www, apakšdomēniem un wildcard. Apakšdomēna mapē izveidojiet mapi .well-known, kurā ievietojiet failu mta-sts.txt.
enforce. Ja pasta servera nosaukums nav pareizs vai pasta servera sertifikāts neatbilst šim nosaukumam, vēstules vairs nesaņems no sūtītājiem, kuri ievēro MTA-STS. Turklāt politikas failam jābūt tieši atveramam: sūtītāji neseko novirzīšanai uz citu adresi. Sāciet ar testing, izlasiet TLS-RPT pārskatus, un šaubu gadījumā vispirms sazinieties ar mums.Fons: RFC 8461 (MTA-STS) un RFC 8460 (TLS-RPT).