it-swarm.com.de

Wie (in) sicher ist POP / IMAP / SMTP?

Ich mache einige Annahmen zur grundlegenden E-Mail-Sicherheit und möchte einige dieser Punkte bestätigen oder klarstellen, um sicherzustellen, dass ich das Gesamtbild verstehe. Bitte korrigieren Sie mich, wo ich mich irre:

Die Antwort auf diese Frage gibt einen Einblick, deckt aber nicht alles ab, was ich suche.

Dies alles setzt einen herkömmlichen E-Mail-Dienst voraus, auf den über einen Desktop- oder mobilen Client über POP oder IMAP und SMTP (ohne Berücksichtigung von Webmail) zugegriffen wird.

Angenommen, ich rufe Nachrichten ab. Meine Client-App übergibt meinen Benutzernamen und mein Kennwort an den POP-Server, der mich authentifiziert und die Nachrichten zurücksendet. Wenn ich kein SSL/TLS verwende, erfolgt die gesamte Konversation einschließlich der Nachricht und der Anmeldeinformationen im Klartext. Und jeder, der den Netzwerkverkehr beobachtet, kann das Ganze abfangen. Und wenn ich SSL verwende, ist die gesamte Konversation sicher, auch über ein öffentliches Netzwerk. Habe ich das richtig

Nach meinem Verständnis sind herkömmliche Nachrichten unsicher, wenn mein Server mit dem Server eines anderen Benutzers kommuniziert. Daher ist die Nachricht selbst während der Übertragung zwischen Servern wahrscheinlich anfällig, aber zumindest mit SSL wäre mein E-Mail-Passwort sicher.

Wenn ich verstehe, würde PGP oder ähnliches bedeuten, dass die Nachricht selbst verschlüsselt ist, so dass niemand anderes die Nachricht lesen kann, solange mein und der private Schlüssel des Empfängers sicher sind. Aber das ist nur die Botschaft, oder? Nicht die IMAP/SMTP/POP-Verbindung? Das heißt, wenn ich PGP für die Nachricht verwenden würde, aber keine SSL-Verbindung zu SMTP, würde ich zur Authentifizierung immer noch Klartext-Benutzernamen und -Kennwort senden.

Grundsätzlich versuche ich zu verstehen, warum ein E-Mail-Anbieter sich weigert, SSL/TLS für POP/IMAP/SMTP-Verbindungen anzubieten. Ein bestimmter Anbieter gibt an, dies nicht zu tun, da E-Mails ohnehin von Natur aus unsicher sind, sodass SSL dies eigentlich nicht tut Tun Sie alles, um Sie zu schützen, und sie empfehlen PGP für wirklich sichere E-Mails. Ich möchte argumentieren, dass SSL zwar kein End-to-End-Nachrichtenschutz ist, aber zumindest meine Anmeldeinformationen und meine Nachricht für einen erheblichen Teil ihrer Reise schützt (vorausgesetzt, ich gehe zum SMTP-Server und POP-Server zum Empfänger Sie verbinden sich mit SSL.

Habe ich damit alles klar?

37
Joe Enos

Zur Beantwortung Ihrer Frage:

  • Wenn Sie SSL/TLS verwenden, um auf Ihre E-Mails zuzugreifen, unabhängig davon, ob es sich um POP oder IMAP handelt, ist es für niemanden sehr schwierig, den Text der E-Mails allein aus der Analyse des Datenverkehrs zu entschlüsseln. Einige große Unternehmen, z. B. eine Anwaltskanzlei, für die ich früher gearbeitet habe, haben einen Server zwischen uns und dem Internet, der das SSL entfernt, sodass die Antwort ein qualifiziertes Ja ist, wenn Sie sagen, dass Sie in Sicherheit sind.

  • Auch wenn sich die Nachricht nach dem Zugriff noch auf dem E-Mail-Server befindet, kann Ihr E-Mail-Anbieter bestochen/zur Übergabe gezwungen werden. Natürlich löst GPG dieses Problem. Sie können Ihren E-Mail-Anbieter auch bitten, über POP heruntergeladene Nachrichten zu löschen, obwohl Sie darauf vertrauen müssen, dass er die Nachrichten sicher löschen kann und will.

  • Wenn Sie sich mit SSL bei der Anmeldung mit Ihrem E-Mail-Passwort anmelden, kann Ihr Passwort nicht einfach gelesen werden, indem der Datenverkehr zwischen Ihrem Computer und dem E-Mail-Server unter der in Punkt 1 genannten Bedingung abgefangen wird.

  • Ihr Verständnis von PGP ist weitgehend korrekt. Wenn eine Nachricht an Sie gesendet wird, die mit Ihrem öffentlichen Schlüssel verschlüsselt ist, können nur Sie, jemand, der Ihren privaten Schlüssel gebrochen hat, diese lesen. Der private Schlüssel des Absenders ist irrelevant, da er ihn nicht zum Entschlüsseln einer für Sie bestimmten Nachricht verwenden kann. Wenn Ihr E-Mail-Passwort im Klartext gesendet wurde, obwohl Sie absolut richtig denken, dass es abgefangen werden könnte und jemand auf Ihre E-Mails zugreifen oder sie in Ihrem Namen senden könnte, um sich als Sie auszugeben. Wenn Sie PGP jederzeit zum Verschlüsseln und Signieren aller Nachrichten verwendet haben und andere das Gleiche für Sie getan haben, würde dies jedoch den Inhalt Ihrer Nachrichten schützen.

  • Ich kann mir nicht vorstellen, warum ein E-Mail-Anbieter SSL nicht über die Faulheit hinaus anbieten möchte. Sie können heutzutage sogar kostenlose Zertifikate erhalten! Die meisten kostenlosen Webmail-Anbieter bieten SSL an, z. B. Google Mail. Haben Sie darüber nachgedacht, sie zu verwenden?

22
Stryfe

Angenommen, ich rufe Nachrichten ab. Meine Client-App übergibt meinen Benutzernamen und mein Kennwort an den POP-Server, der mich authentifiziert und die Nachrichten zurücksendet. Wenn ich kein SSL/TLS verwende, erfolgt die gesamte Konversation einschließlich der Nachricht und der Anmeldeinformationen im Klartext.

Nicht unbedingt . SMTP, POP und IMAP können alle mehrere Authentifizierungsmechanismen unterstützen, von denen einige verschlüsselt sind (z. B. CRAM-MD5, GSSAPI). Eine gute Liste finden Sie hier unter Nicht-Klartext-Authentifizierung . Auf diese Weise sind Ihre Anmeldeinformationen möglicherweise auf dem Kabel sicher, obwohl die eigentliche E-Mail dies nicht ist.

Und wenn ich SSL verwende, ist die gesamte Konversation sicher, auch über ein öffentliches Netzwerk. Habe ich das richtig

Ja, das tust du. Wie in dem von Ihnen zitierten Thread erwähnt, handelt es sich bei Mail jedoch um viele Hops. Sie können den Client auf dem Mail Store-Server sichern, aber der Pfad, den die Mail vom Client des Absenders zu Ihrem Mail Store führt, ist nur dann nachweislich sicher, wenn Sie einen End-to-End-Verschlüsselungsmechanismus verwenden.

Grundsätzlich versuche ich zu verstehen, warum ein E-Mail-Anbieter sich weigert, SSL/TLS für POP/IMAP/SMTP-Verbindungen anzubieten

Weil sie billig und faul sind und niemand Helme auf Fahrrädern tragen musste, als sie Kinder waren.

Ich möchte argumentieren, dass SSL zwar kein End-to-End-Nachrichtenschutz ist, aber zumindest meine Anmeldeinformationen und meine Nachricht für einen erheblichen Teil ihrer Reise schützt (vorausgesetzt, ich gehe zum SMTP-Server und POP-Server zum Empfänger Sie verbinden sich mit SSL.

Ja, insbesondere dort, wo diese Anmeldeinformationen wahrscheinlich für etwas anderes geeignet sind, z. B. für die Verwaltung Ihres Kontos bei diesem Anbieter.

Habe ich damit alles klar?

Im Wesentlichen ja.

Ich würde jedoch vorschlagen, dass Sie Ihre Zeit damit verschwenden, mit Ihrem Provider darüber zu streiten. Wenn sie kein SSL bereitstellen möchten, suchen Sie einen anderen Anbieter. Dies ist wahrscheinlich die einzige Stimme, die Sie abgeben könnten, die sie tatsächlich hören würden.

18
gowenfawr

Diese Frage wurde ziemlich gut beantwortet. Es lohnt sich jedoch, einen Blick auf die Übermittlung vom ausgehenden SMTP-Server des Absenders an den eingehenden MX-Server des Empfängers zu werfen. Diese Übermittlung erfolgt häufig mit STARTTLS , um die SMTP-Verbindung zu verschlüsseln. Mit STARTTLS beginnt die Verbindung im Klartext, und die Verbindung wird auf eine SSL/TLS-Verbindung aktualisiert, wenn beide Seiten dies unterstützen. Es gibt jedoch inhärente Probleme mit SMTP und STARTTLS, die es einem aktiven Angreifer ermöglichen, einen MITM-Angriff auszuführen. Siehe dieser Artikel für weitere Informationen.

2
mti2935

Wie in diesem Thread erwähnt, sichert SSL E-Mails, die Sie nur während der Übertragung zwischen dem Pop-Server und Ihrem Computer erhalten haben, sowie E-Mails, die Sie nur während der Übertragung zwischen Ihrem Computer und dem Server-SMTP gesendet haben.

wie von Stryfe angegeben, gibt es nach dem Eintreffen der E-Mail auf dem SMTP-Server keine Hinweise darauf, dass der Rest der Übertragung bis zum POP-Server des Empfängers sicher ist. Gleiches gilt auf der Empfängerseite, wo der Pfad zwischen Ihrem Empfängercomputer und dem E-Mail-Server nicht sicher ist. z.B. Betrachten Sie den Fall, in dem sich der Pop/IMAP-Server im Haus befindet und ein IT-Team einen Blick darauf werfen kann.

wie für PGP einige Male erwähnt; PGP ist in Unternehmen mit Outlook-, Thunderbird-, Google Mail- und Smartphone-Benutzern nicht einfach einzurichten. Es gibt solide Alternativen wie CryptoMailer ( http://www.thegreenbow.com/cryptomailer ), obwohl diese immens einfacher einzurichten und zu verwenden ist.

1
Marco Madeira