¿Es mejor enviar que recuperar correos electrónicos? Transmisión obligatoria de TLS vs IMAP sobre recuperación de SSL

Question

¿Es mejor enviar que recuperar correos electrónicos? Transmisión obligatoria de TLS vs IMAP sobre recuperación de SSL

#1 de Steffen Ullrich (2 votos)
#2 de sebastian nielsen (0 votos)

1

Un cliente (otra empresa) quiere que le enviemos información por correo electrónico regularmente (cientos de correos electrónicos por día). Solicitaron correos electrónicos porque cada correo electrónico creará un ticket separado en su sistema de administración de tareas.

Los correos electrónicos contienen información privada. Podemos configurar el TLS obligatorio (a.k.a. "TLS aplicado por la política") en nuestros servidores de correo para asegurarnos de que los correos electrónicos estén encriptados en tránsito.

Mi pregunta es: ¿sería mejor, en cambio, configurar un buzón en nuestro servidor y hacer que el cliente recupere los mensajes de este buzón a través de IMAP sobre SSL? Mi primer pensamiento fue que esto sería más seguro, ya que el correo no se transmitiría entre servidores de correo intermedios desconocidos, pero luego recordé que TLS es el sucesor de SSL, lo que supongo significa un cifrado más fuerte.

Entonces, ¿qué es más seguro: enviar el correo electrónico al servidor de correo del cliente, a través de TLS aplicado por la política, o hacer que el cliente recupere el correo de un buzón en nuestro servidor de correo a través de IMAP sobre SSL? (Parece que nuestro servidor no admite IMAP a través de TLS; no estoy seguro de si eso es una cosa).

Para los propósitos de esta pregunta, suponga que tenemos una transmisión de correo segura dentro de cada compañía respectiva: solo estoy preguntando acerca de cómo asegurar la transmisión de correo entre las dos compañías. También puede asumir el almacenamiento de correo seguro en los dos servidores de correo respectivos.

Hay una pregunta similar acerca de bandeja de entrada segura de terceros , pero a esas bandejas de entrada se accederá a través de un navegador, probablemente con una conexión TLS, no a través de IMAP sobre SSL, por lo que no creo que se aplique aquí. El cliente recuperará mensajes programáticamente.

Mi instinto es que tener el sistema de administración de tareas del cliente para recuperar los mensajes a través de IMAP a través de SSL es más seguro porque tiene menos "partes", por lo que hay menos cosas que pueden salir mal. Lo que no me queda claro es el beneficio que tiene utilizar TLS en lugar de SSL.

tls email data-transfer

pregunta browly 21.03.2018 - 23:31

fuente

2 respuestas

Lea otras preguntas en las etiquetas tls email data-transfer

¿Se pueden rastrear los mensajes SMS cuando provienen de una computadora? Uso de PGP para responder preguntas de seguridad de la cuenta con PKI

score 2 · Answer 1

TLS en SMTP es el cifrado salto por salto, es decir, los correos solo se cifran entre cada servidor de correo en tránsito, pero cada servidor de correo involucrado tiene acceso completo al correo descifrado. De lo contrario, estos MTA no podrían agregar Received o DKIM-Signature encabezados o similar al correo.

Aparte de eso, el remitente solo puede controlar si TLS se usa para transmitir el correo al siguiente salto y el destinatario puede controlar que TLS solo reciba el correo desde el último salto, pero ambos no tienen control sobre cómo recibe el correo. Transmitido entre cualquier otro salto. Y, TLS no ayuda contra la falsificación de DNS o la configuración incorrecta cuando el atacante puede controlar qué MX está involucrado en la entrega.

En su lugar, IMAP con TLS está cifrado de extremo a extremo. En la medida en que la solución IMAP sería más segura contra el espionaje por diseño. Solo podría alcanzar una seguridad similar con SMTP si tiene el control de todos los saltos involucrados. Dependiendo de su servidor de correo saliente, esto podría hacerse configurando una ruta fija y directa a un servidor de correo específico del destinatario en lugar de confiar en los mecanismos comunes (búsqueda MX) para encontrar la ruta automáticamente.

pero luego recordé que TLS es el sucesor de SSL, ...

TLS y SSL son solo nombres diferentes de la misma familia de protocolos y, a menudo, se usan indistintamente o simplemente se llaman SSL / TLS a menos que se pretenda una versión de protocolo específica. De hecho, TLS 1.0 es prácticamente SSL 3.1 y la cantidad de diferencias entre las diferencias entre SSL 3.0 y TLS 1.0 puede ser incluso menor que entre TLS 1.2 y TLS 1.3.

... que supongo significa un cifrado más fuerte.

Un mejor cifrado no ayuda en absoluto si el atacante no está tratando de detectar el tráfico durante el tránsito, sino en los servidores de correo involucrados, lo que es posible con el cifrado salto a salto en SMTP pero no con el extremo a extremo cifrado en IMAP.

score 0 · Answer 2

Sugeriría que sea más seguro para la parte que posee los datos confidenciales para enviarlo, en lugar de que la otra compañía lo extraiga.

El motivo es que, imagina las fugas de contraseña de IMAP, o un administrador de servidor no confiable obtiene estos detalles y extrae datos de IMAP.

Al empujar los datos en su lugar, se asegura que los datos terminen donde deberían. Y siempre que presione el servidor SMTP correcto, no habrá servidores SMTP intermedios intermedios.

Puede usar fácilmente una política que también impone una IP de servidor específica para un dominio de correo electrónico específico, además del TLS forzado.

Independientemente de si utiliza IMAP o SMTP para transferir, puede en relación con SSL / TLS, configurarlos con la misma seguridad, por lo que el cifrado no hace ninguna diferencia.