¿Qué tan seguro es el panorama del correo electrónico en este momento?

Question

¿Qué tan seguro es el panorama del correo electrónico en este momento?

#1 de Steffen Ullrich (3 votos)

4

A la luz de las noticias recientes sobre algunas fallas en el estándar PGP , yo (un usuario que no es PGP) comencé a pensar qué tan seguro es el correo electrónico regular. -los correos de estos días.

He encontrado el proyecto STARTTLS Everywhere , y tienen una advertencia muy preocupante:

La mayoría de los correos electrónicos transferidos entre servidores SMTP (también conocidos como MTA) se transmiten de forma clara y trivialmente interceptable. El cifrado del tráfico SMTP es posible mediante el mecanismo STARTTLS, que encripta el tráfico pero es vulnerable a ataques triviales de downgrade.

¿Sigue siendo cierto hasta hoy? ¿El correo electrónico "regular" sigue yendo de un lado a otro en texto sin formato?

Editar: mi pregunta es diferente de ¿Qué (seguro) es POP / IMAP / SMTP porque esa pregunta se centra en la recuperación del correo electrónico por parte del usuario final. Mi enfoque aquí es en la comunicación de servidor SMTP a servidor SMTP.

email smtp

pregunta Guest 18.05.2018 - 19:15

fuente

1 respuesta

Lea otras preguntas en las etiquetas email smtp

Autentificación de clientes de servidor a servidor basada en token Metasploit: deshabilitar auxiliar / scanner / http / brute_dirs para wmap_scanner

score 3 · Answer 1

Primero, el descifrado de extremo a extremo ofrecido por PGP y S / MIME y el cifrado de salto por salto proporcionado por SMTP STARTTLS y el uso de TLS en IMAP y POP son cosas totalmente diferentes. Con el cifrado de extremo a extremo, el correo es cifrado por el remitente y descifrado por el destinatario final. En cambio, con el cifrado de salto por salto, el correo solo se cifra durante el tránsito de un servidor de correo al siguiente, lo que significa que se puede acceder de forma simple en cada servidor de correo involucrado y también se almacena de forma sencilla en el servidor de correo de los proveedores, donde se recupera utilizando POP o IMAP.

Dicho esto, hay algún tipo de estadísticas recientes sobre cuánto STARTTLS para SMTP se admite en la práctica:

Estadísticas de uso de SMTP sobre TLS (edición de 2017) :
El 83% es compatible con TLS (frente al 86% en 2015), de estos el 65% es compatible con TLS 1.2, ...
Midiendo SMTP STARTTLS Deployment Quality a partir de 2016:
aproximadamente el 82% de los servidores son compatibles con TLS, de los cuales aproximadamente el 20% no tienen un certificado válido de confianza pública

Si bien estas estadísticas describen la cantidad de servidores de correo que admiten recibir correo antes de TLS, no dicen cuánto correo realmente entrega TLS. Hay algunas estadísticas interesantes de Google que describen la cantidad de TLS que se usa para los correos entrantes y salientes. Muestra, por ejemplo, que a principios de 2016, aproximadamente el 60% del tráfico entrante estaba usando TLS, a partir de 2017 ya el 80% y ahora alrededor del 92%. El número actual de correos salientes es de alrededor del 88%. El último número significa que para el 12% de los destinatarios su servidor de correo no es compatible con TLS.

Para obtener mis propias estadísticas de la vida real, he visto algunos de los correos que he recopilado en los últimos 3 años, unos 300.000 correos no spam y la misma cantidad de correos no deseados. De los correos que no son de spam, alrededor del 77% se entregó con TLS, mientras que con los correos no deseados este número fue del 42%. Cuando solo miraba los correos de este año, el 87% de los correos entrantes que no eran de spam usaban TLS, mientras que solo el 53% de los correos no deseados.