E-mail-kryptering er frivillig
Transport af mail mellem servere bruger som udgangspunkt opportunistisk kryptering. Serverne krypterer, hvis begge parter kan, men falder lydløst tilbage til klartekst, hvis ikke.
En angriber med adgang til netværksvejen kan udnytte det med et nedgraderingsangreb. Han fjerner blot krypteringstilbuddet, og mailen bliver sendt ukrypteret, hvor den kan læses og ændres.
For en virksomhed, der modtager kontrakter, persondata eller fakturaer på mail, er det et reelt hul.
Sådan lukker MTA-STS hullet
Med MTA-STS publicerer I en politik, der siger, at mail til jer skal leveres over TLS med gyldigt certifikat, ellers slet ikke. Politikken består af en lille tekstfil på https://mta-sts.jeresdomæne.dk plus en DNS-record.
Afsendende servere, der understøtter standarden, og det gør både Microsoft og Google, cacher politikken og nægter derefter at falde tilbage til klartekst. I enforce-tilstand er nedgraderingsangrebet dermed lukket for al trafik fra de store udbydere.
TLS-RPT er jeres øjne på leveringen
TLS-RPT er en DNS-record, der beder afsendende servere sende daglige rapporter om TLS-fejl til en adresse, I vælger. Rapporterne afslører certifikatproblemer, fejlkonfigurationer og aktive angrebsforsøg.
Uden TLS-RPT kører MTA-STS i blinde. Så opdager I først et problem, når vigtige mails udebliver, og det er som regel kunden, der siger det først.
Sammen med SPF, DKIM og DMARC udgør MTA-STS og TLS-RPT den komplette moderne e-mail-sikkerhedsstak. DMARC beskytter mod forfalskning af afsenderen. MTA-STS beskytter indholdet under transport. Begge dele indgår i Mail- & Domænesikkerhed.