Apakah masih "salah" untuk meminta STARTTLS pada pesan SMTP yang masuk

Menurut Bagian Spesifikasi STARTTLS 5:

Server SMTP yang direferensikan publik TIDAK HARUS mensyaratkan penggunaan
ekstensi STARTTLS untuk mengirim email secara lokal. Aturan ini
mencegah ekstensi STARTTLS dari merusak interoperabilitas infrastruktur SMTP Internet. Server SMTP yang direferensikan publik adalah server SMTP yang berjalan pada port 25 dari host Internet yang tercantum dalam catatan MX (atau catatan A jika catatan MX tidak ada) untuk
nama domain di sisi kanan alamat surat Internet .

Namun, spesifikasi ini ditulis pada tahun 1999, dan mengingat itu tahun 2014, saya berharap sebagian besar klien SMTP, server, dan relay memiliki semacam implementasi STARTTLS.

Berapa banyak email yang bisa saya harapkan hilang jika saya memerlukan STARTTLS untuk pesan masuk?

email smtp starttls jackweirdy
sumber

Pertanyaan bagus. Memaksa TLS tidak akan mencegah SPAM.

Matt

Saya tidak mengharapkannya, saya hanya ingin enkripsi (yang saya dapatkan dari 90% pesan masuk tanpa harus diminta) :)

jackweirdy

@ Mat Saya memeriksa surat yang baru-baru ini diterima pada satu server surat tertentu dan menemukan ini. Dari email yang diterima dengan TLS ada 4% spam, dari mail yang diterima tanpa TLS ada 100% spam. Saya tidak akan benar-benar memblokir email tanpa TLS berdasarkan ini, tapi itu jelas merupakan sinyal yang kuat, yang dapat digunakan dalam penyaringan spam.

kasperd

@kasperd - Anda bisa mengaktifkan TLS atau menggunakannya sebagai cara untuk mengurangi spam, tetapi itu tidak akan bertahan lama. Yang benar-benar berarti adalah bahwa klien smtp yang mereka gunakan untuk mendorong spam ke server Anda tidak menggunakan TLS, atau mungkin mencoba untuk tidak menggunakan TLS secara default tetapi dapat mencoba sesi yang diaktifkan TLS jika diperlukan. Paling-paling, Anda akan melihat pengurangan SPAM sementara, tetapi saya berharap ini akan kembali ke level normal seiring waktu.

Matt

@ Matt Itu berlaku untuk sebagian besar pendekatan yang saat ini diambil terhadap spam. Masalah lain dengan sebagian besar pendekatan adalah bahwa mereka memblokir terlalu banyak email yang sah. Orang jarang mempertimbangkan berapa banyak surel yang sah yang dapat diblokir.

kasperd

Jawaban:

Ya, itu masih ide yang buruk.

Tiga alasan:

Meskipun RFC yang Anda kutip ( RFC 2487 ) sebenarnya sudah usang oleh standar RFC 3207 saat ini, standar saat ini membuat kata kerja HARUS TIDAK yang Anda kutip dalam pertanyaan Anda.
Klien SMTP tidak diwajibkan untuk mengimplementasikan STARTTLS. Benar-benar dapat diterima untuk tidak melakukannya. Sementara STARTTLS menjadi lebih umum, itu sama sekali tidak universal.
Akibat alasan 1 dan 2, jika Anda memerlukan STARTTLS pada semua koneksi yang masuk, Anda akan kehilangan email.

Namun:

Server Anda - aturan Anda. Jika Anda ingin secara sewenang-wenang menolak surat apa pun karena alasan apa pun, atau bahkan tanpa alasan - itu adalah hak dan hak istimewa Anda. (tidak berarti bahwa itu selalu merupakan ide yang hebat)

Catatan samping:

Anda tidak akan mencegah spam dengan meminta STARTTLS, bahkan jika Anda memerlukan otentikasi STARTTLS bersama. Spammer juga bisa mendapatkan sertifikat - atau membuat yang ditandatangani sendiri. Menolak sertifikat klien yang ditandatangani sendiri juga akan mengakibatkan kehilangan email yang sah.

STARTTLS adalah enkripsi point-to-point. Sistem penghubung masih dapat membaca isi email. Jika Anda menginginkan privasi nyata, Anda memerlukan sesuatu yang end-to-end, seperti OpenPGP atau S / MIME.

Yang mengatakan, STARTTLS memang menghapus satu jalan yang memungkinkan untuk intersepsi atau MITM dan oleh karena itu masih merupakan ide yang baik untuk menggunakannya saat layak, yaitu ketika pihak lain mendukungnya juga.

Joe Sniderman
sumber

Catatan tentang sertifikat dan spam tidak pada tempatnya. Itu adalah penerima yang membutuhkan sertifikat bukan pengirim.

kasperd

itu tidak akan membantu mencegah spam. Bahkan jika Anda membuat saling STARTTLS auth wajib. Akan memperbarui jawaban untuk menjelaskan.

Joe Sniderman

Beri +1 pada catatan tentang spam. Hanya karena dienkripsi, itu tidak membuatnya aman.

Matt

Google mempertahankan statistik terbuka pada persentase email yang dienkripsi, baik yang masuk maupun yang keluar. Informasi ini harus sangat berguna bagi Anda dalam menentukan apakah ini layak diterapkan:

http://www.google.com/transparencyreport/saferemail/

Matt Sersan
sumber