bezpieczeństwo TLS/SSL

Bezpieczeństwo TLS/SSL to poziom ochrony zapewniany przez szyfrowanie połączenia pomiędzy klientem a serwerem pocztowym.

Jak TLS chroni połączenie z serwerem pocztowym

Bezpieczeństwo TLS/SSL oznacza ochronę komunikacji między programem pocztowym a serwerem pocztowym za pomocą protokołu szyfrującego. TLS, czyli Transport Layer Security, tworzy zabezpieczony kanał, w którym przesyłane są między innymi dane logowania, treść wiadomości, adresy nadawców i odbiorców oraz informacje o ustawieniach skrzynki. Szyfrowanie utrudnia odczytanie przechwyconej transmisji osobie, która uzyskałaby dostęp do ruchu sieciowego, na przykład w niezabezpieczonej sieci bezprzewodowej.

Współczesny TLS zapewnia trzy podstawowe właściwości. Poufność polega na tym, że dane są szyfrowane i nie powinny być możliwe do odczytania bez odpowiednich kluczy. Integralność oznacza wykrywanie zmiany danych podczas transmisji. Uwierzytelnienie serwera opiera się na certyfikacie cyfrowym, który pozwala programowi pocztowemu sprawdzić, czy połączenie prowadzi do wskazanego serwera, a nie do urządzenia podszywającego się pod ten serwer. Samo użycie napisu „SSL” w nazwie ustawienia nie oznacza, że stosowana jest stara wersja SSL; w wielu programach jest to historyczna, skrótowa nazwa zabezpieczonego połączenia TLS.

Certyfikat, nazwa hosta i negocjowanie parametrów

Podczas nawiązywania połączenia TLS klient i serwer wykonują uzgodnienie parametrów zabezpieczenia, określane jako handshake. Strony ustalają między innymi wersję protokołu, algorytmy kryptograficzne oraz klucze sesyjne używane do ochrony dalszej transmisji. W TLS 1.3 proces ten został uproszczony względem starszych wersji, a protokół ogranicza wybór przestarzałych mechanizmów kryptograficznych. TLS 1.2 i TLS 1.3 są obecnie wersjami spotykanymi w poprawnie skonfigurowanych usługach pocztowych, natomiast SSL 2.0 i SSL 3.0 są historyczne i nie powinny być używane.

Certyfikat serwera zawiera między innymi nazwę lub nazwy hostów, dla których został wystawiony, klucz publiczny, informacje o wystawcy oraz okres ważności. Program pocztowy porównuje nazwę serwera wpisaną w konfiguracji z nazwą zapisaną w certyfikacie. Sprawdza także łańcuch zaufania prowadzący do uznanego urzędu certyfikacji oraz datę ważności certyfikatu. Ostrzeżenie o niezgodności nazwy, nieważnym certyfikacie albo niezaufanym wystawcy nie jest zwykłym komunikatem kosmetycznym. Może wskazywać na błędną konfigurację, wygasły certyfikat, brak aktualnych certyfikatów urzędów certyfikacji w systemie albo próbę przechwycenia połączenia.

STARTTLS i szyfrowanie od początku połączenia

W poczcie elektronicznej spotyka się dwa sposoby uruchamiania TLS. STARTTLS zaczyna od połączenia w protokole pocztowym, a następnie przełącza istniejącą sesję na szyfrowaną połączeniem TLS. Taki mechanizm jest używany między innymi przy wysyłaniu poczty przez SMTP Submission na porcie 587. Program musi otrzymać od serwera informację, że rozszerzenie STARTTLS jest dostępne, a potem poprawnie wykonać przełączenie przed przesłaniem hasła lub innych poufnych danych.

Drugim sposobem jest tak zwane implicit TLS, czyli szyfrowanie uruchamiane natychmiast po zestawieniu połączenia. W tym wariancie klient nie rozpoczyna rozmowy od jawnego protokołu pocztowego. Typowe porty dla takich usług to 465 dla SMTP Submission, 993 dla IMAP over TLS oraz 995 dla POP3 over TLS. IMAP służy do pracy z wiadomościami przechowywanymi na serwerze, a POP3 przede wszystkim do ich pobierania. W przypadku IMAP i POP3 właściwy wybór trybu szyfrowania oraz portu musi odpowiadać konfiguracji serwera. Ustawienie TLS na porcie przeznaczonym dla STARTTLS albo odwrotnie może powodować błąd połączenia, mimo że dane serwera i hasło są prawidłowe.

Objawy błędnej konfiguracji TLS w programie pocztowym

Problemy z bezpieczeństwem TLS/SSL mogą objawiać się komunikatem o niemożności nawiązania bezpiecznego połączenia, błędem certyfikatu, rozłączeniem podczas logowania albo żądaniem zaakceptowania nieznanego certyfikatu. Przyczyną bywa nieaktualny system operacyjny lub program pocztowy, nieprawidłowa data i godzina, literówka w nazwie hosta, niezgodny numer portu, wyłączone STARTTLS albo serwer obsługujący wyłącznie wersję TLS, której klient nie potrafi użyć. Znaczenie ma również oprogramowanie antywirusowe z funkcją skanowania poczty, ponieważ niektóre takie moduły pośredniczą w połączeniu i mogą powodować dodatkowe ostrzeżenia certyfikatowe.

Podczas diagnostyki należy rozdzielić problem z szyfrowaniem od problemu z uwierzytelnieniem. Błąd certyfikatu występuje na etapie sprawdzania tożsamości serwera, natomiast komunikat o odrzuceniu hasła pojawia się zwykle później, po ustanowieniu kanału TLS. Nie należy bez sprawdzenia wyłączać weryfikacji certyfikatu ani zatwierdzać dowolnego ostrzeżenia, ponieważ usuwa to istotny element ochrony przed podszywaniem się pod serwer. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego przy problemach z działaniem programu pocztowego można rozpocząć od sprawdzenia systemu, aplikacji, połączenia sieciowego oraz lokalnej konfiguracji klienta.