STARTTLS 的不完整性以及大規模監控電子郵件

在「Don’t count on STARTTLS to automatically encrypt your sensitive e-mails」這邊提到了 STARTTLS 的問題,引用「Neither Snow Nor Rain Nor MITM ... An Empirical Analysis of Email Delivery Security」這篇論文的說明。

SMTP 裡 STARTTLS 的設計雖然可以加密,但仲所皆知,可以阻擋 EHLO 回應結果避免建立 STARTTLS 連線,而讓發送端改用傳統未加密的 SMTP 傳輸。而研究發現其實目前就有大規模的這種監控行為:

可以看到突尼西亞的監控情況遠超過想像...

目前的想法是發展一套類似 HSTS 的 Trust on first use 設計,也許在這份報告出來後可以加速催生...

This entry was posted in Computer, Mail, Murmuring, Network, Security and tagged , , , , , , , , , , , , , . Bookmark the permalink.

2 Responses to STARTTLS 的不完整性以及大規模監控電子郵件

  1. Kuon says:

    SMTP-STS 也有被提出來

  2. Pingback: Gmail 將會針對沒有加密傳輸收到的信件標示警告 | Gea-Suan Lin's BLOG

Leave a Reply

Your email address will not be published. Required fields are marked *