Pāriet uz saturu

Jums sūtītā pasta šifrēšanu var nemanāmi izslēgt

Brīdinājums Viss domēns E-pasta piegāde

Vispārīgas instrukcijas. Atveriet šo rakstu no sava PageCheck pārskata, lai redzētu to aizpildītu ar Jūsu domēna pasta serveriem un precīziem Jūsu DNS pakalpojuma sniedzēja soļiem.

Kas tas ir

E-pasts starp serveriem parasti ir šifrēts, taču tikai tad, ja abas puses par to vienojas ceļā, un uzbrucējs pa vidu var šo piedāvājumu noņemt: e-pasts tad tiek piegādāts nešifrēts, un neviens to nepamana. MTA-STS ir neliela publiska politika, kas sūtītāju serveriem paziņo, ka Jūsu pasta serveri vienmēr atbalsta šifrēšanu, tāpēc bez tās tie piegādāt nedrīkst.

Kas ir nepareizi

example.com nav MTA-STS politikas, tāpēc uz to sūtīto e-pastu šifrēšanu var nemanāmi izslēgt. Tā DMARC politika jau aptur e-pastus, kas viltoti tā vārdā; šis ir nākamais solis.

Kā labot

Sāciet testing režīmā: sūtītāju serveri tad tikai ziņo par problēmām un joprojām piegādā katru ziņu, tāpēc nekas nevar noiet greizi, kamēr pārbaudāt iestatījumus.

1. Uzrakstiet politikas failu. Saglabājiet šo kā vienkāršu teksta failu ar nosaukumu mta-sts.txt. Tajā jānorāda katrs domēna pasta serveris (MX):

mta-sts.txt

version: STSv1
mode: testing
mx: mail.example.com
max_age: 86400

2. Publicējiet to savā adresē. Failam jāatveras adresē https://mta-sts.example.com/.well-known/mta-sts.txt caur HTTPS ar derīgu sertifikātu un bez jebkādas pāradresācijas – pāradresācija uz www vai uz galveno vietni liek sūtītājiem to ignorēt.

Ja Jūsu DNS ir Cloudflare, vienkāršākā vieta ir Cloudflare Worker (bez maksas): Workers & Pages → Create → Create Worker, nosauciet to par mta-sts, aizstājiet tā kodu ar zemāk esošo un spiediet Deploy. Pēc tam Worker sadaļā Settings → Domains & Routes → Add → Custom domain: mta-sts.example.com. Cloudflare izveido tam DNS ierakstu un sertifikātu.

Cloudflare Worker

export default {
  async fetch() {
    const policy = [
      'version: STSv1',
      'mode: testing',
      'mx: mail.example.com',
      'max_age: 86400',
    ].join('\r\n') + '\r\n';
    return new Response(policy, { headers: { 'content-type': 'text/plain; charset=utf-8' } });
  },
};

Pie Jūsu hostinga: pievienojiet apakšdomēnu mta-sts.example.com ar SSL sertifikātu, izveidojiet tajā mapi .well-known un augšupielādējiet tur mta-sts.txt.

  • Plesk: Websites & Domains → Add Subdomain, tad SSL/TLS Certificates → Let's Encrypt, tad File Manager.
  • cPanel: Domains → Create A New Domain, tad SSL/TLS Status → Run AutoSSL, tad File Manager.

3. Paziņojiet politiku DNS.

  • Atveriet Jūsu domēna DNS ierakstus tur, kur tiek pārvaldīts tā DNS: parasti pie domēna reģistratora, hostinga pakalpojuma sniedzēja vai Cloudflare.
  • Pievienojiet TXT ierakstu: nosaukums _mta-sts, vērtība v=STSv1; id=1. Saglabājiet.

4. Pieprasiet pārskatus. Sūtītāju serveri tad katru dienu pa e-pastu sūtīs pārskatu par katru neizdevušos šifrētu piegādi. Vispirms izveidojiet pastkasti tls-reports@example.com (vai izmantojiet citu adresi, ko lasāt).

  • Atveriet Jūsu domēna DNS ierakstus tur, kur tiek pārvaldīts tā DNS: parasti pie domēna reģistratora, hostinga pakalpojuma sniedzēja vai Cloudflare.
  • Pievienojiet TXT ierakstu: nosaukums _smtp._tls, vērtība v=TLSRPTv1; rua=mailto:tls-reports@example.com. Saglabājiet.

5. Pārbaudiet. Atveriet https://mta-sts.example.com/.well-known/mta-sts.txt: tai jāparāda fails kā vienkāršs teksts. Tad palaidiet šo pārbaudi vēlreiz: tā nolasa failu un salīdzina tā mx rindiņas ar Jūsu pasta serveriem.

6. Apmēram pēc divām nedēļām: ieviesiet to. Kad pārskatos nav neizdevušos piegāžu, pārslēdziet failu uz enforce režīmu un vienas nedēļas max_age:

mta-sts.txt

version: STSv1
mode: enforce
mx: mail.example.com
max_age: 604800

Tad nomainiet TXT ierakstu _mta-sts uz v=STSv1; id=2, lai sūtītāji ielādētu jauno failu. Katrai turpmākai faila izmaiņai vajag jaunu id, un, kad mainās Jūsu pasta serveri, vispirms atjauniniet mx rindiņas. 

Set up MTA-STS (RFC 8461) for the mail domain example.com, starting in testing mode, and TLS-RPT (RFC 8460) reporting.
Its MX hosts (look them up first; this is a placeholder): mail.example.com.

Steps:
1. Serve this policy at https://mta-sts.example.com/.well-known/mta-sts.txt over HTTPS with a valid certificate for mta-sts.example.com, status 200, Content-Type text/plain, no redirect:
   version: STSv1
   mode: testing
   mx: mail.example.com
   max_age: 86400
   Use the web host (a subdomain with its own certificate) or a static host.
2. Add the TXT record _mta-sts.example.com = "v=STSv1; id=1".
3. Add the TXT record _smtp._tls.example.com = "v=TLSRPTv1; rua=mailto:tls-reports@example.com" (make sure that mailbox exists).
4. Verify: curl -sv https://mta-sts.example.com/.well-known/mta-sts.txt (200, no redirect, the policy text) and dig TXT _mta-sts.example.com +short.
5. Tell me to come back in two weeks: if the TLS reports show no failures, switch to mode: enforce with max_age: 604800 and change the TXT record to "v=STSv1; id=2".
Every mx line must match an MX host exactly or by a one-label wildcard (*.example.com); a missing one makes enforcing senders refuse mail.

Resources:
- MTA-STS, RFC 8461 (IETF): https://datatracker.ietf.org/doc/html/rfc8461
- TLS-RPT, RFC 8460 (IETF): https://datatracker.ietf.org/doc/html/rfc8460

Pārbaudiet savu vietni, lai uzzinātu, vai tai ir šī problēma. Pārbaudīt vietni