Cos’è MTA-STS e come migliorerà la sicurezza della posta elettronica?

Scopri come la specifica MTA-STS migliorerà la sicurezza della posta elettronica crittografando i messaggi e abilitando trasferimenti di posta elettronica sicuri e autenticati tra server SMTP.

La specifica SMTP MTA Strict Transport Security è uno standard Internet che migliora la sicurezza delle connessioni tra server SMTP. Quando il Simple Mail Transfer Protocol è stato specificato per la prima volta nel 1982, non forniva alcuna sicurezza a livello di trasporto per proteggere la comunicazione tra agenti di trasferimento della posta, ma il comando STARTTLS è stato aggiunto a SMTP nel 1999 per supportare la crittografia opportunistica della posta elettronica tra server. Ha fornito la possibilità di aggiornare una connessione non sicura a una sicura crittografata tramite il protocollo Transport Layer Security.

Ma STARTTLS ha due problemi: il primo è che è facoltativo. Un aggressore man-in-the-middle può modificare una connessione e impedire l’aggiornamento della crittografia. Il secondo problema è che, anche se si utilizza STARTTLS, non c’è modo di autenticare l’identità del server di invio perché i server di posta SMTP non convalidano i certificati.

Il protocollo DNS-Based Authentication of Named Entities (DANE) è stato un primo tentativo di risolvere questo problema. DANE si basa su Domain Name System Security Extensions (DNSSec), che forniscono un metodo per firmare i record DNS. Tuttavia, DNSSEC è controverso nella comunità della sicurezza e non è mai stato ampiamente adottato. Pertanto, DANE, che si basa su DNSSEC, protegge solo una piccola frazione delle connessioni al server di posta. In particolare, nessuno dei grandi attori, come Google, Yahoo o Microsoft, ha mai adottato DNSSEC o DANE.

Il protocollo MTA-STS è implementato tramite un record DNS che specifica che un server di posta può recuperare un file di policy da un sottodominio definito. Questa policy verrà quindi recuperata tramite HTTPS, autenticata ed elencherà i nomi dei server di posta dei destinatari. Questi nomi vengono anche autenticati con certificati. L’implementazione di MTA-STS è relativamente semplice sul lato del destinatario, ma sul lato dell’invio, richiede il supporto nel software del server di posta. Alcuni server di posta includono già questo supporto. Ad esempio, il server di posta Postfix ampiamente utilizzato può essere adattato con un modulo esterno.

Lo standard MTA-STS ha un ampio supporto tra i principali provider di servizi di posta. Gli autori includono membri di Microsoft, Oath e Google. Gmail di Google imposta e convalida già le policy MTA-STS.

MTA-STS risolve una lacuna di vecchia data nella sicurezza delle connessioni di posta elettronica. Mentre le connessioni dall’utente al server di posta sono solitamente crittografate con Transport Layer Security al giorno d’oggi, le connessioni tra i server sono rimaste un punto debole. Con il supporto dei principali provider di posta, è probabile che la maggior parte delle connessioni di posta saranno presto crittografate.

Ciò non significa che il contenuto della posta sia crittografato tutto il tempo. Un aggressore con accesso al server di posta stesso può comunque leggere il contenuto, il che può essere impedito solo con metodi di crittografia end-to-end, come Pretty Good Privacy. Ma MTA-STS è efficace nell’impedire agli aggressori sulle reti di leggere il contenuto della posta elettronica, il che è già un enorme miglioramento.