E 'più fortunato inviare che recuperare email? Trasmissione TLS obbligatoria vs IMAP su recupero SSL

Question

E 'più fortunato inviare che recuperare email? Trasmissione TLS obbligatoria vs IMAP su recupero SSL

#1 da (3 voti)
#2 da (0 voti)

1

Un cliente (un'altra società) vuole che inviamo loro informazioni via email regolarmente (centinaia di email al giorno). Hanno richiesto email perché ogni email creerà un ticket separato nel loro sistema di gestione delle attività.

Le e-mail contengono informazioni private. Siamo in grado di impostare TLS obbligatorio (a.k.a. "TLS basato su criteri") sui nostri server di posta per assicurarci che le e-mail siano crittografate durante il transito.

La mia domanda è: sarebbe meglio, invece, impostare una casella di posta sul nostro server e chiedere al client di recuperare i messaggi da questa casella di posta tramite IMAP su SSL? Il mio primo pensiero è stato che sarebbe stato più sicuro, dal momento che la posta non sarebbe stata trasmessa tra sconosciuti server di posta intermedia, ma poi ho ricordato che TLS è il successore di SSL, che presumo significhi una crittografia più strong.

Quindi, che è più sicuro: inviare l'e-mail al server di posta del client, tramite TLS con policy o fare in modo che il client recuperi la posta da una casella di posta sul nostro server di posta tramite IMAP su SSL? (Il nostro server non sembra supportare IMAP su TLS, non sono sicuro che sia un problema.)

Ai fini di questa domanda, supponiamo di avere una trasmissione di posta sicura all'interno di ciascuna rispettiva società: sto solo chiedendo di assicurare la trasmissione della posta tra le due società. Puoi anche ipotizzare l'archiviazione sicura della posta sui due rispettivi server di posta.

C'è una domanda simile su Posta in arrivo di terze parti sicura es, ma è possibile che tali caselle di posta siano accessibili tramite un browser, presumibilmente con una connessione TLS, non tramite IMAP su SSL, quindi non penso che si applica qui. Il client recupererà i messaggi a livello di codice.

Il mio istinto è che avere il sistema di gestione delle attività del client recuperare i messaggi tramite IMAP su SSL è più sicuro perché ha meno "parti", quindi ci sono meno cose che possono andare storte. Ciò che non mi è chiaro è quanto sia vantaggioso utilizzare TLS anziché SSL.

email data-transfer tls

posta browly 21.03.2018 - 23:31

fonte

2 risposte

Leggi altre domande sui tag email data-transfer tls

Utilizzo di sqlmap --crawl senza fare domande Che tipo di CA è "Gestione CA" in EJBCA?

score 3 · Answer 1

TLS in SMTP è una codifica hop by hop, ovvero i messaggi di posta elettronica vengono crittografati solo tra ciascun server di posta in transito, ma ciascun server di posta in questione ha accesso completo alla posta decrittografata. Altrimenti questi MTA non sarebbero in grado di aggiungere Received o DKIM-Signature intestazioni o simili alla posta.

Oltre a ciò, il mittente può controllare solo se TLS viene utilizzato per trasmettere la posta all'hop successivo e il destinatario può controllare che la posta sia ricevuta solo da TLS dall'ultimo hop ma entrambi non hanno alcun controllo su come la posta debba trasmesso tra qualsiasi altro luppolo. Inoltre, TLS non aiuta lo spoofing o l'errata configurazione del DNS quando l'utente malintenzionato può controllare quale MX è coinvolto nella consegna.

IMAP con TLS è invece crittografato end-to-end. Pertanto la soluzione IMAP sarebbe più sicura contro l'intercettazione di design. È possibile raggiungere una sicurezza simile con SMTP solo se si ha il controllo di tutti gli hop coinvolti. A seconda del server di posta in uscita, ciò potrebbe essere fatto configurando una route fissa e diretta a uno specifico server di posta del destinatario invece di affidarsi ai meccanismi comuni (ricerca MX) per trovare automaticamente la rotta.

but then I remembered that TLS is the successor to SSL, ...

TLS e SSL sono solo nomi diversi della stessa famiglia di protocolli e sono spesso usati in modo intercambiabile o si chiamano semplicemente SSL / TLS a meno che non si intenda una versione specifica del protocollo. In effetti, TLS 1.0 è praticamente SSL 3.1 e la quantità di differenze tra le differenze tra SSL 3.0 e TLS 1.0 potrebbe persino essere inferiore a quella tra TLS 1.2 e TLS 1.3.

... which I presume means stronger encryption.

Una migliore crittografia non aiuta affatto se l'attaccante non sta cercando di annusare il traffico durante il transito ma sui server di posta coinvolti, il che è possibile con la crittografia hop-by-hop in SMTP ma non con l'end-to-end crittografia in IMAP.

score 0 · Answer 2

Suggerirei che sia più sicuro per la parte che detiene i dati sensibili per spingerlo, invece di fare in modo che l'altra azienda la prenda.

Il motivo è che, immagina la perdita della password IMAP, o un amministratore di server non affidabile si impadronisce di questi dettagli e recupera i dati da IMAP.

Spingendo i dati, invece, si assicura che i dati finiscano dove dovrebbero. E fino a quando si spinge al server SMTP corretto, non ci sono server SMTP intermedi tra.

Puoi facilmente utilizzare un criterio che impone anche un IP server specifico per uno specifico dominio di posta elettronica, oltre al TLS forzato.

Indipendentemente dal fatto che usi IMAP o SMTP per il trasferimento, puoi fare riferimento a SSL / TLS, configurarli con la stessa sicurezza, quindi la crittografia non fa differenza.