Anzeige

E-Mail Security

Die IETF hat mit MTA-STS einen neuen Standard zur Absicherung von Verbindungen zwischen Mailservern per TLS und Zertifikaten geschaffen. „Damit wird ein aktiver Schutz vor Man-in-the-Middle-Angriffen gewährleistet. Und das ist längst überfällig.

Denn die E-Mail hinkt – verglichen mit anderen Kommunikationskanälen – schon lange in Sachen Verschlüsselung hinterher“, begrüßt Christian Heutger, Geschäftsführer der PSW GROUP, die Entscheidung. Der IT-Sicherheitsexperte begründet: „Zwar ist eine Ende-zu-Ende-Verschlüsselung seit Jahren möglich, jedoch wird sie leider kaum genutzt. MTA-STS soll nun eine praktikable Möglichkeit bieten, auch den Transportweg zwischen Mailservern zu sichern.“

Bislang werden Verbindungen zwischen Mailservern mit STARTTLS verschlüsselt. Auf diese Weise wird zwar das Mitlesen von Nachrichten verhindert, jedoch keine Man-in-the-Middle-Angriffe. So findet die Kommunikation zwischen zwei Usern zwar über TLS-gesicherte Varianten von POP3, IMAP sowie SMTP oder aber über HTTPS-Interfaces statt. Die Verbindungen zwischen den Servern sind dabei jedoch weitgehend ungeschützt. Damit haben sich zum Auslesen von E-Mails für Cyberkriminelle drei Angriffsmethoden bewährt: die Unterdrückung von STARTTLS, die Nutzung eines falschen Zertifikats sowie DNS-Spoofing, bei dem Angreifer die DNS-Antworten des Absender-Servers so verändern können, dass Nutzer nicht ans richtige Ziel gelangen. Sie sprechen dann mit einem anderen Server und die E-Mails werden dort abgelegt.

Mit dem neuen Standard zur Absicherung von Mailservern soll mit derartigen Angriffen Schluss sein: Ein Mailserver signalisiert künftig mit MTA-STS, dass TLS-gesicherte Verbindungen unterstützt werden. Der anfragende Mailserver wird angewiesen, ausschließlich verschlüsselte Verbindungen zu akzeptieren.

Wie das in der Praxis aussehen wird, erklärt Christian Heutger: „Mailserver-Betreiber definieren eine Policy, die via HTTPS publiziert wird. Dazu legt der Betreiber im DNS-Server einen TXT-Record an. Dieser signalisiert, dass eine Policy vorhanden ist. Unter der Subdomain „mta-sts“ wird die Policy dann über HTTPS publiziert. So ist gewährleistet, dass diese Policy von einem Inhaber eines gültigen Zertifikats publiziert wurde“, erklärt Heutger. Analog zum DNS-Record wird anschließend eine Version angegeben sowie ein Modus aktiviert: „enforce“, um vor Angriffen und unberechtigten Verbindungen geschützt zu sein, oder „testing“, um ein Fehlerreporting zu realisieren. „Die testing- Funktion ist optional und es bleibt abzuwarten, ob dieser Modus in der Praxis überhaupt implementiert wird“, ergänzt Heutger.

Die abschließende Angabe „mx“ erlaubt die Eintragung aller gültigen Mailserver. Die Angaben stimmen idealerweise mit den MX-Records im DNS-Server überein. Mit dem Befehl „max_age“ wird zu guter Letzt in Sekunden genau angegeben, wie lange die Policy gilt. Dabei gilt: Je länger die Gültigkeit, umso sicherer ist das Verfahren.

Weitere Informationen unter: https://www.psw-group.de/blog/mta-sts-sichere-verschluesselung-zwischen-mailservern/6471

www.psw-group.de


Dieses Whitepaper könnte Sie ebenfalls interessieren:

The Mimecast Email Security Risk Assessment

Titel MimeCast Whitepaper

Viele Organisationen sind der Meinung, dass ihre aktuellen Email-Sicherheitssysteme ausreichen, um sie zu schützen. Leider trifft das für zahlreiche Email-Sicherheitssysteme nicht zu – sie wiegen ihre Nutzer lediglich in trügerischer Sicherheit, haben aber in Wirklichkeit Schwachstellen.

Die Realität ist, dass die gesamte Branche auf einen höheren Standard in Bezug auf Qualität, Schutz und allgemeine E-Mail-Sicherheit hinarbeiten muss. Das beweisen am besten harte Zahlen!

The Mimecast Email Security Risk Assessment:

 

 Download 

 

Deutsch, 8 Seiten, PDF ca. 4,2 MB, kostenlos

 


Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!

 

Weitere Artikel

Cookie Schlüssel

Bye, bye Cookies: Kantars Projekt Moonshot

Kantar, ein Unternehmen für Daten, Insights und Beratung, stellt einen wichtigen Meilenstein in seiner Roadmap zur Bereitstellung einer unabhängigen Plattform zur cookie-freien Messung der Werbewirksamkeit in der Werbebranche vor.
Online-Banking

Vertrauen in Datensicherheit am größten bei Online-Banking

Insgesamt haben Deutsche wenig Vertrauen in die Datensicherheit auf Online-Plattformen. Trotzdem übernehmen die Nutzerinnen und Nutzer auch immer noch zu wenig Eigenverantwortung durch eigene Sicherheitsmaßnahmen.
Trojaner

Staatstrojaner: Geheimdienste sollen erweiterte Befugnisse erhalten

Verschlüsselung ist Strafverfolgungs- und anderen Behörden ein Dorn im Auge: US-Senatoren haben nun einen Gesetzentwurf gegen Verschlüsselung vorgelegt. Aber auch hierzulande sollen Behörden mit dem Staatstrojaner erweiterte Befugnisse erhalten.
USA-Flaggen an Zaun

Datensperrzone USA: Folgen des EuGH-Urteils zum Privacy Shield

Mehr als vier Jahre hielt der Datenschutzschild stand – nun aber kippte der Europäische Gerichtshof (EuGH) nach einem ebenso langen, länderübergreifenden Rechtsstreit die Privacy-Shield-Vereinbarung zwischen der europäischen Union und den Vereinigten Staaten.…

Anzeige

Newsletter Anmeldung

Smarte News aus der IT-Welt

Sie möchten wöchentlich über die aktuellen Fachartikel auf it-daily.net informiert werden? Dann abonnieren Sie jetzt den Newsletter!

Newsletter eBook

Exklusiv für Sie

Als Newsletter-Abonnent erhalten Sie das Booklet „Social Engineering: High Noon“ mit zahlreichen Illustrationen exklusiv und kostenlos als PDF!