SMTP Strict Transport Security, и как сделать мир лучше.


Не зря, как оказалось поминали мы в марте про TLS. Совсем недавно, тихо и мирно, вышел черновик нового, вишнёвого стандарта SMTP Strict Transport Security. Руки чесались про него написать, но старые корабельные друзья все время находили предлог, чтобы этого не случилось. 🙂

Для начала, сорву покровы скажу пару слов о защите транспорта TLS вообще:

Давайте вспомним, что из себя представляет расширение STARTTLS:

TLS

Самая большая проблема STARTTLS заключается в том, что он уязвим для атак и атак на снижение стойкости алгоритмов, поэтому не может гарантировать конфиденциальности и подтверждения проверки подлинности сервера.

Именно поэтому существуют закрытые почтовые системы, гарантирующие подлинность сообщений, передаваемых в них. Хорошим примером будет здесь почтовая система в сфере здравоохранения, или банка.

Вы получаете от банка уведомление «безопасного»письма на контактный адрес, видите в нем безопасную ссылку, проходите по ней, регистрируетесь в своем личном кабинете. Пишете в нем письма через форму сотрудникам банка, или заказываете справку о состоянии вашего счета. Получаете уведомление Вы опять, же на свой контактный email, идете по безопасной ссылке в безопасный личный кабинет и читаете безопасную почту. Почему так? Потому, что банк гарантирует. что почта прошла по безопасным каналам, и никто чужой ее не прочитает.

Можно ли положиться на обычный TLS вместо таких сложностей?

Да,  можно. Например, Google может отображать сведения о том, как и почему он получил письмо, и какой отсюда следует вывод.TLS

Показано будет, зашифровано письмо, или нет, а также можно посмотреть дополнительные сведения.

Значит, теоретически, если мы будем видеть и на стороне отправителя и получателя используется ли TLS или нет, то сможем полностью быть уверены в шифровании и защите писем, особенно с применением SMTP Strict Transport Security, когда мы явно видим, как было получено или отправлено письмо- с использованием TLS, или же нет.

Сработает ли это в банковской сфере безопасных писем?

Нет.

Почему нет?

Нужно помнить, что финансовые (и другие) структуры имеют обязательства перед регуляторами по защите высоко чувствительных данных. Когда банк в первый раз послал Вам письмо с использованием безопасного приложения, Вы принимаете соглашение по защите данных «Мне понятно, что эти данные подпадают под требования ФЗ такого-то, и будут так-то переданы и так-то хранимы». Именно поэтому вокруг систем и очерчиваются дополнительные меловые круги защиты, и строятся приложения для безопасного доступа к таким данным.

Сервисы, такие как Office 365, Gmail, и все остальные (никого не хочу обидеть не перечислением), не регулируются такими соглашениями. Да, они безусловно могут принимать и передавать данные, защищая их, но они не заключают соглашения с конечным пользователем о безопасном хранении данных.

Да, они (сервисы) делают отличную работу, и (иногда) шифруют данные, но пока они не заключили с Вашим банком договор с Microsoft или Google, защищенные письма по прежнему не будут появляться в вашем обычном, привычном почтовом ящике.

P.S. Напоследок, хочется немного слов сказать о самом виновнике статьи, SMTP STS, о котором я уже забыл :). Переводить драфт из 18 страниц не интересно, ибо зачем, когда вот он, написанный вполне понятным языком, осталось только потратить несколько часов, сесть и разобраться. Сложного ничего нет, идея DMARC дала правильные всходы, и алгоритм очень похож по сути на HTTPS, в котором мы сразу видим, чем, как и почему зашифровано соединение. Полагается SMTP STS на проверку сертификатов (здравствуй, PKI) и DNS проверку новых специальных записей (здравствуй, DNSSEC), вида _smtp_sts.

Вариaнт спецификации уже есть для Exim, и уже можно играться с ним, неплохо работает. Если в вашей среде реализован качественный и хороший TLS, то можно задуматься о добавлении новых записей для электропочты и о том, что мир можно сделать лучше.

Реклама

Добавить комментарий

Заполните поля или щелкните по значку, чтобы оставить свой комментарий:

Логотип WordPress.com

Для комментария используется ваша учётная запись WordPress.com. Выход / Изменить )

Фотография Twitter

Для комментария используется ваша учётная запись Twitter. Выход / Изменить )

Фотография Facebook

Для комментария используется ваша учётная запись Facebook. Выход / Изменить )

Google+ photo

Для комментария используется ваша учётная запись Google+. Выход / Изменить )

Connecting to %s