Qual è il modo più affidabile per trasferire le email senza il supporto specifico del destinatario?

Come è già stato detto, non esiste una soluzione universale che non dipenda dall'altra parte anche prendendo le misure.

Detto questo, SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) è abbastanza ben supportato là fuori in the wild, e can aiuta ad affrontare le parti 1 & 3 (sono davvero due lati della stessa moneta). La nuova specifica DMARC (Domain-based Message Authentication, Reporting & Conformance) si basa su SPF & DKIM.

Tutti questi sono supportati dai principali provider di posta elettronica e da molti altri servizi, quindi anche se non sarà supportato da tutti quelli che potrebbero ricevere le tue e-mail o inviarti, è un grande passo sopra lo stock SMTP. SPF / DKIM / DMARC non garantisce che l'e-mail non sia dannosa / spam / importante, in quanto chiunque può configurare il proprio dominio con quell'infrastruttura in atto.

La sicurezza è estremamente difficile da raggiungere quando solo una parte delle parti coinvolte si preoccupa di questo.

Non può essere fatto.

• Per ottenere l'opzione 1, è necessaria la firma digitale e il destinatario deve controllare la firma.
• Per ottenere l'opzione 2, è necessaria la crittografia e l'endpoint di ricezione deve decrittografare.
• Per ottenere l'opzione 3, è necessario che il destinatario riceva un indirizzo di mittente falsificato.

Hai sempre bisogno di roba alla fine del destinatario. Ora, potrebbe essere nel server o nel client. Ma deve essere lì. E devi decidere cosa vuoi che succeda se non ci sia. La posta fallisce? O permettere che vada in modo insicuro?

w.r.t STARTTLS, è solo un'estensione del protocollo SMTP che consente al server di origine di chiedere al server ricevente di utilizzare TLS per la connessione. Quindi in pratica è TLS.

Come affermato in precedenza, non è possibile eseguire la sicurezza della posta elettronica (o la qualsiasi sicurezza) senza il supporto del client.

Ma potresti mettere la sicurezza lato client sul server del client piuttosto che sulla sua workstation. Esistono soluzioni che firmano automaticamente, crittografano, decifrano, ecc. I messaggi che utilizzano i protocolli PGP mentre passano attraverso il dispositivo. Astaro vengono in mente i dispositivi periferici, ma sono sicuro che ce ne sono altri.

Ricorda che questo non è lo stesso livello di utilità, dal momento che l'utente non avrà idea se i suoi messaggi siano o meno sicuri; dovresti invece stabilire criteri sul server per accettare o rifiutare i messaggi in base allo stato della sicurezza. Ma poi di nuovo, senza apportare modifiche alla workstation dell'utente, ovviamente non poteva avere nulla a che fare con la sua sicurezza dei messaggi; quindi questo non è tanto un aspetto negativo in quanto è un requisito di design.