MTA-STS (SMTP MTA Strict Transport Security) consente a un dominio di pubblicare una politica che richiede che la posta a esso destinata viaggi tramite una connessione crittografata verso un server correttamente certificato, in modo che un malintenzionato non possa silenziosamente ridurre il livello di sicurezza della connessione a testo in chiaro.
Il problema che risolve
I server di posta crittografano le connessioni tra loro in modo opportunistico: se il server ricevente offre il protocollo TLS, il mittente lo utilizza; in caso contrario, o se un elemento intermedio blocca tale offerta, il mittente prosegue in chiaro. Un malintenzionato posizionato sulla rete può sfruttare questa situazione senza che nessuna delle due parti se ne accorga.
Come funziona
Il dominio pubblica un breve record TXT all’indirizzo _mta-sts.yourdomain per annunciare una politica e rende disponibile la politica stessa tramite HTTPS all’indirizzo https://mta-sts.yourdomain/.well-known/mta-sts.txt. La politica elenca gli host di posta legittimi del dominio e una modalità. Un server di invio che supporta MTA-STS la recupera e, in modalità «enforce», rifiuta la consegna a meno che non riesca a stabilire una connessione TLS con un certificato valido verso uno degli host elencati. Lo standard è RFC 8461.
testing: segnala i problemi ma effettua comunque la consegna.enforce: non effettuare la consegna tramite una connessione che non soddisfa i requisiti della politica.none: revoca una politica precedente.
Il suo complemento, il TLS Reporting (TLS-RPT), è un record TXT all’indirizzo _smtp._tls.yourdomain che indica un indirizzo per le segnalazioni relative alle connessioni non riuscite — in modo da poter scoprire quando si verifica un problema, anziché doverlo supporre.
Come verificare un dominio
curl https://mta-sts.yourdomain.com/.well-known/mta-sts.txtMTA-STS su Mailotte
mailotte.com pubblica una politica MTA-STS in modalità «enforce» che elenca entrambi i propri host di posta, oltre a un record TLS-RPT. Potete consultare personalmente la politica all’indirizzo https://mta-sts.mailotte.com/.well-known/mta-sts.txt. Maggiori informazioni su come viene protetto il resto del servizio sono disponibili nella pagina dedicata alla sicurezza.
Domande
L’MTA-STS equivale alla crittografia end-to-end?
No. Protegge la posta mentre viaggia tra i server. I server alle due estremità possono comunque leggerla.
È consigliabile iniziare in modalità "enforce"?
Inizi in modalità di test con la segnalazione TLS attivata, si assicuri che non si verifichino errori, quindi passi alla modalità di applicazione.
Tutti i server di invio supportano MTA-STS?
No: protegge solo la posta inviata dai server che lo implementano. La posta proveniente da un server che non lo implementa viene recapitata come sarebbe avvenuta in assenza della politica.
Termini correlati
- DKIM — DomainKeys Identified Mail
- Record MX — Record Mail Exchanger
- DMARC — Domain-based Message Authentication, Reporting and Conformance
- Tutti i termini