Page Shape Page Shape Page Shape Page Shape Page Shape

什么是 MTA-STS?设置正确的 MTA STS 策略

SMTP 邮件传输代理-严格传输安全(MTA-STS)是一个广为人知的互联网标准,它有助于提高 SMTP(简单邮件传输协议)服务器之间连接的安全性。MTA-STS 解决了现有的 SMTP 电子邮件安全在传输过程中执行 TLS 加密。

MTA-STS的历史和起源 

在1982年,SMTP首次被指定,它不包含任何在传输层面提供安全的机制,以确保邮件传输代理之间的通信。然而,在1999年,STARTTLS命令被添加到SMTP中,反过来支持服务器之间的电子邮件加密,提供了将非安全连接转换为使用TLS协议加密的安全连接的能力。

在这种情况下,您一定很想知道 SMTP 是否采用 STARTTLS 来确保服务器之间的连接安全,为什么需要转向 MTA-STS,以及它的作用是什么。让我们在本博客的以下章节中一探究竟!

什么是MTA-STS?(Mail Transfer Agent Strict Transport Security - Explained)

MTA-STS是一个安全标准,确保通过加密的SMTP连接安全传输电子邮件。首字母缩写MTA代表信息传输代理,这是一个在计算机之间传输电子邮件信息的程序。首字母缩写STS代表严格的传输安全,这是用来实现该标准的协议。一个具有MTA-STS意识的邮件传输代理(MTA)或安全信息传输代理(SMTA)按照该规范操作,为在不安全的网络上发送电子邮件提供一个安全的端到端渠道。

MTA-STS协议允许SMTP客户端验证服务器的身份,并通过要求服务器在TLS握手中提供其证书指纹来确保它没有连接到一个冒牌货。然后,客户端根据包含已知服务器证书的信任存储来验证该证书。

MTA-STS 电子邮件安全简介 

引入 MTA-STS 是为了弥补 SMTP 通信中的安全漏洞。作为一种安全标准,MTA-STS 可确保通过加密的 SMTP 连接安全传输电子邮件。

缩写 MTA 代表信息传输代理,是在计算机之间传输电子邮件信息的程序。缩写 STS 代表严格传输安全,是用于实施该标准的协议。具有 MTA-STS 感知的邮件传输代理(MTA)或安全信息传输代理(SMTA)按照本规范运行,为在不安全的网络上发送电子邮件提供安全的端到端通道。

MTA-STS协议允许SMTP客户端验证服务器的身份,并通过要求服务器在TLS握手中提供其证书指纹来确保它没有连接到一个冒牌货。然后,客户端根据包含已知服务器证书的信任存储来验证该证书。

转向强制 TLS 加密的必要性

STARTTLS 并不完美,它未能解决两个主要问题:首先,它是一种可选措施,因此 STARTTLS 无法防止中间人(MITM)攻击。这是因为 MITM 攻击者可以轻易修改连接,阻止加密更新。它的第二个问题是,即使实施了 STARTTLS,也无法像 SMTP 那样验证发送服务器的身份。 SMTP邮件服务器不会验证证书。

虽然目前大多数外发电子邮件都使用 传输层安全(TLS)加密,但攻击者仍可在电子邮件加密前对其进行阻挠和篡改。如果您通过安全连接发送电子邮件,您的数据可能会受到网络攻击者的威胁,甚至被修改和篡改。

这时,MTA-STS 就会介入并解决这个问题,保证邮件的安全传输,并成功缓解 MITM 攻击。此外,MTA 存储 MTA-STS 策略文件,使攻击者更难发起 DNS 欺骗攻击.

MTA-STS是如何工作的?

MTA-STS 协议通过 DNS 记录进行部署,该记录指定邮件服务器可以从特定子域获取策略文件。该策略文件通过 HTTPS 获取,并与收件人邮件服务器名称列表一起通过证书验证。与发送端相比,收件人端更容易实施 MTA-STS,因为它需要邮件服务器软件的支持。虽然有些邮件服务器支持 MTA-STS,如 PostFix但并非所有邮件服务器都支持。

主办的MTA STS

主要的邮件服务提供商,如微软、Oath和谷歌都支持MTA-STS。谷歌的Gmail已经在近期采用了MTA-STS策略。MTA-STS消除了电子邮件连接安全方面的弊端,使受支持的邮件服务器确保连接安全的过程变得简单和容易获得。

从用户到邮件服务器的连接通常使用 TLS 协议进行保护和加密,然而,尽管如此,在实施 MTA-STS 之前,邮件服务器之间的连接仍然缺乏安全性。随着近来电子邮件安全意识的提高和全球主要邮件提供商的支持,预计在不久的将来,大多数服务器连接都将加密。此外,MTA-STS 还能有效确保网络上的网络犯罪分子无法读取电子邮件内容。

为域名设置 MTA-STS 的步骤

要为您的域设置 MTA-STS,请按照以下步骤操作: 

  • 检查您的域名是否有现有的 MTA-STS 配置。如果您正在使用 Google Workspace 发送电子邮件,您可以借助本 指南.
  • 创建并发布 MTA-STS 策略,为每个域单独配置。MTA-STS 策略文件定义了该域使用的启用了 MTA-STS 的电子邮件服务器。 
  • 创建策略文件后,必须将该文件上传到公共网络服务器上,以便于远程服务器访问 
  • 最后,创建并发布您的 MTA-STS DNS 记录("_mta-sts" TXT 记录),以指示接收服务器,您的邮件必须经过 TLS 加密才能被视为真实邮件,并且只有在前者属实的情况下才允许访问接收者的收件箱。

一旦有了活动策略文件,外部邮件服务器将不允许在没有安全连接的情况下访问电子邮件。 

3 种 MTA-STS 策略模式:无、测试和执行

MTA-STS 策略模式的三个可用值如下: 

  1. :该策略会使您的 MTA-STS 配置失效,因为外部服务器会认为该协议在域中处于非活动状态
  2. 测试:使用此策略时,通过未加密连接传输的电子邮件不会被拒绝,相反,启用 TLS-RPT 后,您将继续收到有关传输路径和电子邮件行为的 TLS 报告
  3. 强制:最后,当执行策略时,通过未加密 SMTP 连接传输的电子邮件将被服务器拒绝。

MTA-STS提供了针对.NET的保护。

  • 降级攻击
  • 中间人攻击(MITM)
  • 它解决了多个 SMTP 安全问题,包括过期的 TLS 证书和缺乏对安全协议的支持。

最新博客