Tag: mta

Gmail 宣佈支援 MTA-STS

Gmail 宣佈支援 MTA-STS：「Gmail making email more secure with MTA-STS standard」。這邊提到的 MTA-STS 是透過某些設定，讓 SMTP 送信時強制使用 TLS 的機制，可以參考「SMTP 的強加密連線機制」這篇。

可以看到有 TXT，也有 .well-known 檔案：

;; ANSWER SECTION:
_mta-sts.gmail.com.     300     IN      TXT     "v=STSv1; id=20171114T070707;"

$ curl https://mta-sts.gmail.com/.well-known/mta-sts.txt
version: STSv1
mode: testing
mx: gmail-smtp-in.l.google.com
mx: *.gmail-smtp-in.l.google.com
max_age: 86400

如果要自己設定的話可以參考 Google 提供的「About MTA-STS and TLS Reporting」這篇，不過目前中文版文件還沒有更新，請切到英文版...

SMTP 的強加密連線機制

RFC 8461 成為正式標準 (Standards Track)，描述 Mail server 到 mail server 之間的強加密連線機制：「SMTP MTA Strict Transport Security (MTA-STS)」。

Policy 設定的方法有好幾種：

第一種是透過 _mta-sts 的 TXT record 設定，這點通常會配合 DNSSEC 確保 DNS 的查詢沒有被改。

第二種是透過 HTTPS 在某個特定的 host (mta-sts) 取得 policy 檔案。像是對 example.com 的資料會從 https://mta-sts.example.com/.well-known/mta-sts.txt 取得。

第三種是透過 HTTPS 的 certificate 裡面帶 mta-sts 資訊出來。

不只有 DNS 可以設定，使得整個架構變得有點複雜...

Gmail 要開始導入 SMTP Strict Transport Security 了

SMTP MTA Strict Transport Security 算是 SMTP STARTTLS 裡的 HSTS 機制，而 Google 的人在 RSA Conference 上提出要開始用了：「SMTP STS Coming Soon to Gmail, Other Webmail Providers」。

Elie Bursztein, the head of Google’s anti-abuse research team, said at RSA Conference that SMTP STS will be a major impediment to man-in-the-middle attacks that rely on rogue certificates that are likely forged, stolen or otherwise untrusted. Google, Microsoft, Yahoo and Comcast are expected to adopt the standard this year, a draft of which was submitted to the IETF in March 2016.

補上去後對於 SMTP 的隱私保護就會更好了...