STARTTLS oder SSL-Ports

Hi,

das ist korrekt

"STARTTLS bezeichnet ein Verfahren zum Einleiten der Verschlüsselung einer Netzwerkkommunikation mittels Transport Layer Security (TLS). ... Da das Verfahren keine Vorteile mehr gegenüber TLS bietet, wird generell die Einstellung „SSL/TLS" in E-Mail-Clients empfohlen und somit von STARTTLS abgeraten."

Die Ports gibt es doch auch verschlüsselt ?!


SSL/TLS oder STARTTLS
Wie einfach es ist, unverschlüsselte Verbindungen zu den Mailservern zu belauschen, die Passwörter zu extrahieren und den Account zu kompromittieren, wurde von T. Pritlove auf der re:publica 2007 gezeigt. Die Aktivierung der Transportverschlüsselung ist also ein Muss.

In der Account Konfiguration kann man wählen, ob man "old-style SSL/TLS" oder das neuer "STARTTLS" Protokoll für die Transportverschlüsselung zwischen E-Mail Client und Mail­server verwenden will. Aus Sicherheitsgründen ist SSL/TLS zu bevorzugen.
Wenn man SSL/TLS: verwendet, wird als erstes eine verschlüsselte Verbindung aufgebaut und danach beginnt die protokoll-spezifische Kommunikation.

Es werden keine Daten über eine unverschlüsselte Verbindung gesendet und der Server muss sich zuerst authentifizieren, bevor der Client irgendwelche Daten sendet.
Wenn STARTTLS: genutzt wird, beginnt die Kommunikation unverschlüsselt. Der E-Mail Client wartet ab, ob der Mailserver in seinen Capabilities mit 250-STARTTLS eine Transport­verschlüsselung anbietet. Erst äußert der Client den Wunsch, verschlüsselt zu kommunizieren, was der Server nochmals bestätigen muss. Dann erfolgt ein Aufbau der verschlüsselten Verbindung und der Client beginnt nochmal von vorn.

Eine SMTP-Verbindung wird mit STARTTLS wie folgt aufgebaut:
Client: unverschlüsselter Connect
Server: 220 smtp.server.tld Simple Mail Transfer Service Ready
Client: EHLO 192.168.23.44
Server: 250-smtp.server.tld
Server: 250-SIZE 100000000
Server: 250-AUTH LOGIN PLAIN
Server: 250-STARTTLS
Client: STARTTLS
Server: 220 go ahead
SSL/TLS Handshake zwischen Client und Server
Client: EHLO 192.168.23.44
Wie man sieht, können dabei unter Umständen auch private Daten unverschlüsselt gesendet werden. Bei SMTP wird im ersten EHLO Kommando die IP-Adresse oder der Hostname des Rechners aus dem internen Netz unverschlüsselt gesendet. Ein "Lauscher am Draht" kann damit u.U. den Mitarbeiter in einer Firma identifizieren.

Bewusst oder unbewusst könnten Provider als man-in-the-middle die verschlüsselte Übertragung deaktivieren. Es wird einfach die Meldung 250-STARTTLS gefiltert und überschrieben. Scheinbar verfügen alle DSL-Provider über die Möglichkeit, dieses Feature bei Bedarf für einzelne Nutzer zu aktivieren. Einige E-Mail Clients verwenden standardmäßig die Option "STARTTLS wenn möglich". Diese Einstellung ist genau in dem Moment wirkungslos, wenn man es braucht, weil der Traffic beschnüffelt wird.

Das STARTTLS wurde als Erweiterung für bestehende Protokolle entwickelt, um TLS Verschlüsselung für unterschiedliche Domains mit unterschiedlichen Zertifikaten auf einem Server anbieten zu können. Es wurde nicht mit der Zielstellung entwickelt, die Sicherheit von SSL/TLS zu erhöhen. Man sollte sich nicht irritieren lassen und evtl. schlussfolgern, dass "old-style TLS" veraltet sein könnte.
Auch die IETF empfiehlt in RFC 8314 "SSL/TLS" gegenüber "STARTTLS" zu bevorzugen.


Ich hoffe, ich konnte dir damit etwas weiterhelfen

Liebe Grüße
Pascal