SMTP 邮件传输代理-严格传输安全(MTA-STS)是一个广为人知的互联网标准,它有助于提高 SMTP(简单邮件传输协议)服务器之间连接的安全性。MTA-STS 解决了现有的 SMTP 电子邮件安全在传输过程中执行 TLS 加密。
在1982年,SMTP首次被指定,它不包含任何在传输层面提供安全的机制,以确保邮件传输代理之间的通信。然而,在1999年,STARTTLS命令被添加到SMTP中,反过来支持服务器之间的电子邮件加密,提供了将非安全连接转换为使用TLS协议加密的安全连接的能力。
在这种情况下,您一定很想知道 SMTP 是否采用 STARTTLS 来确保服务器之间的连接安全,为什么需要转向 MTA-STS,以及它的作用是什么。让我们在本博客的以下章节中一探究竟!
MTA-STS是一个安全标准,确保通过加密的SMTP连接安全传输电子邮件。首字母缩写MTA代表信息传输代理,这是一个在计算机之间传输电子邮件信息的程序。首字母缩写STS代表严格的传输安全,这是用来实现该标准的协议。一个具有MTA-STS意识的邮件传输代理(MTA)或安全信息传输代理(SMTA)按照该规范操作,为在不安全的网络上发送电子邮件提供一个安全的端到端渠道。
MTA-STS协议允许SMTP客户端验证服务器的身份,并通过要求服务器在TLS握手中提供其证书指纹来确保它没有连接到一个冒牌货。然后,客户端根据包含已知服务器证书的信任存储来验证该证书。
引入 MTA-STS 是为了弥补 SMTP 通信中的安全漏洞。作为一种安全标准,MTA-STS 可确保通过加密的 SMTP 连接安全传输电子邮件。
缩写 MTA 代表信息传输代理,是在计算机之间传输电子邮件信息的程序。缩写 STS 代表严格传输安全,是用于实施该标准的协议。具有 MTA-STS 感知的邮件传输代理(MTA)或安全信息传输代理(SMTA)按照本规范运行,为在不安全的网络上发送电子邮件提供安全的端到端通道。
MTA-STS协议允许SMTP客户端验证服务器的身份,并通过要求服务器在TLS握手中提供其证书指纹来确保它没有连接到一个冒牌货。然后,客户端根据包含已知服务器证书的信任存储来验证该证书。
STARTTLS 并不完美,它未能解决两个主要问题:首先,它是一种可选措施,因此 STARTTLS 无法防止中间人(MITM)攻击。这是因为 MITM 攻击者可以轻易修改连接,阻止加密更新。它的第二个问题是,即使实施了 STARTTLS,也无法像 SMTP 那样验证发送服务器的身份。 SMTP邮件服务器不会验证证书。
虽然目前大多数外发电子邮件都使用 传输层安全(TLS)加密,但攻击者仍可在电子邮件加密前对其进行阻挠和篡改。如果您通过安全连接发送电子邮件,您的数据可能会受到网络攻击者的威胁,甚至被修改和篡改。
这时,MTA-STS 就会介入并解决这个问题,保证邮件的安全传输,并成功缓解 MITM 攻击。此外,MTA 存储 MTA-STS 策略文件,使攻击者更难发起 DNS 欺骗攻击.
MTA-STS 协议通过 DNS 记录进行部署,该记录指定邮件服务器可以从特定子域获取策略文件。该策略文件通过 HTTPS 获取,并与收件人邮件服务器名称列表一起通过证书验证。与发送端相比,收件人端更容易实施 MTA-STS,因为它需要邮件服务器软件的支持。虽然有些邮件服务器支持 MTA-STS,如 PostFix但并非所有邮件服务器都支持。
主要的邮件服务提供商,如微软、Oath和谷歌都支持MTA-STS。谷歌的Gmail已经在近期采用了MTA-STS策略。MTA-STS消除了电子邮件连接安全方面的弊端,使受支持的邮件服务器确保连接安全的过程变得简单和容易获得。
从用户到邮件服务器的连接通常使用 TLS 协议进行保护和加密,然而,尽管如此,在实施 MTA-STS 之前,邮件服务器之间的连接仍然缺乏安全性。随着近来电子邮件安全意识的提高和全球主要邮件提供商的支持,预计在不久的将来,大多数服务器连接都将加密。此外,MTA-STS 还能有效确保网络上的网络犯罪分子无法读取电子邮件内容。
要为您的域设置 MTA-STS,请按照以下步骤操作:
一旦有了活动策略文件,外部邮件服务器将不允许在没有安全连接的情况下访问电子邮件。
MTA-STS 策略模式的三个可用值如下: