brak TLS

Brak TLS to usterka konfiguracji uniemożliwiająca szyfrowanie połączenia podczas wymiany danych pocztowych.

Na czym polega brak TLS w poczcie

Brak TLS oznacza, że klient pocztowy albo usługa pocztowa nie ustanawia szyfrowanego kanału podczas przesyłania danych. TLS, czyli Transport Layer Security, szyfruje komunikację między dwoma punktami połączenia i umożliwia sprawdzenie tożsamości serwera na podstawie certyfikatu. Gdy szyfrowanie nie jest używane, nazwa użytkownika, hasło, treść wiadomości, załączniki oraz informacje o adresatach mogą być przesyłane w postaci możliwej do odczytania przez osobę mającą dostęp do ruchu sieciowego.

W poczcie elektronicznej TLS może być uruchamiany na dwa sposoby. Przy połączeniu typu STARTTLS klient najpierw nawiązuje zwykłe połączenie z usługą, a następnie żąda jego przełączenia do trybu szyfrowanego. Przy tak zwanym implicit TLS szyfrowanie jest wymagane od początku połączenia. Samo wyświetlenie komunikatu „połączenie nawiązane” nie oznacza jeszcze, że kanał jest chroniony. Istotne jest, czy klient rzeczywiście zakończył negocjację TLS i zaakceptował prawidłowo zweryfikowany certyfikat.

Port i tryb szyfrowania muszą do siebie pasować

Jedną z częstych przyczyn problemu jest wybranie niewłaściwego portu albo trybu zabezpieczeń. Dla wysyłania poczty przez usługę submission powszechnie stosuje się port 587 z poleceniem STARTTLS. Port 465 jest przeznaczony do połączenia SMTP z niejawnym TLS, czyli szyfrowaniem aktywnym od początku sesji. Wymieszanie tych ustawień może powodować błąd negocjacji, zamknięcie połączenia albo pozornie poprawne połączenie bez ochrony, zależnie od zachowania programu i usługi.

Dla odbierania wiadomości przez IMAP port 993 oznacza zwykle połączenie z niejawnym TLS, natomiast port 143 może korzystać z rozszerzenia STARTTLS. W przypadku POP3 port 995 służy do połączenia z niejawnym TLS, a port 110 może rozpocząć sesję bez szyfrowania i przełączyć ją poleceniem STARTTLS. Konkretne numery portów nie zastępują jednak dokumentacji dostawcy poczty. Administrator usługi może ograniczyć dostępne metody, wymagać określonego certyfikatu lub wyłączyć starsze warianty protokołu.

Objawy i bezpieczna kolejność sprawdzania

Brak TLS może objawiać się komunikatem o niezabezpieczonym połączeniu, błędem logowania, odrzuceniem hasła, kodem „connection reset”, „handshake failure” albo informacją o niezgodności certyfikatu. Błąd może wystąpić zarówno przy wysyłaniu, jak i odbieraniu poczty. Niekiedy program pozwala kontynuować pracę po zaakceptowaniu połączenia bez szyfrowania. Nie jest to równoważne naprawie, ponieważ dane nadal mogą być przesyłane jawnie.

Diagnostykę należy rozpocząć od ustalenia, czy problem dotyczy SMTP, IMAP czy POP3, oraz od zapisania aktualnych wartości serwera, portu i rodzaju zabezpieczeń. Następnie trzeba porównać je z wymaganiami dostawcy skrzynki. W ustawieniach klienta należy włączyć TLS lub STARTTLS zgodnie z opisem usługi, a nie zaznaczać przypadkowo opcję „SSL” dla każdego portu. Warto także sprawdzić datę i godzinę systemową, ponieważ nieprawidłowy zegar może spowodować odrzucenie certyfikatu. Kolejnym krokiem jest aktualizacja klienta pocztowego i systemu, gdyż stare biblioteki kryptograficzne mogą nie obsługiwać wymaganej wersji TLS albo bezpiecznych zestawów szyfrów.

Jeżeli komunikat wskazuje na certyfikat, należy zweryfikować jego nazwę, okres ważności i łańcuch zaufania. Nazwa certyfikatu powinna odpowiadać nazwie serwera użytej w konfiguracji, o ile dostawca nie opisał innego rozwiązania. Nie należy automatycznie akceptować ostrzeżeń o nieznanym wystawcy, niezgodnej nazwie lub wygasłym certyfikacie. Do dodatkowej weryfikacji można użyć narzędzi diagnostycznych obsługujących TLS, lecz wynik trzeba interpretować w odniesieniu do konkretnej usługi i jej dokumentacji.

Przywrócenie szyfrowanej komunikacji pocztowej

Usunięcie problemu zwykle polega na poprawieniu konfiguracji konta: wpisaniu właściwego hosta pocztowego, dobraniu odpowiedniego portu, wybraniu STARTTLS albo niejawnego TLS oraz włączeniu uwierzytelniania wymaganym przez dostawcę. Po zapisaniu zmian należy wykonać osobny test odbierania i wysyłania, ponieważ poprawne działanie IMAP lub POP3 nie potwierdza poprawnej konfiguracji SMTP. Jeśli usługa wymaga hasła aplikacyjnego, zwykłe hasło do konta może być odrzucane mimo prawidłowego TLS.

Jeżeli połączenie nadal nie jest szyfrowane, przyczyną może być zapora sieciowa, filtr antywirusowy przechwytujący ruch TLS, nieaktualny magazyn certyfikatów, błędny wpis DNS albo awaria po stronie dostawcy poczty. Pomocne jest porównanie działania tego samego konta na innej sieci i w aktualnej aplikacji pocztowej. Nie należy obniżać wymagań bezpieczeństwa przez trwałe wyłączenie weryfikacji certyfikatu lub wybór „braku szyfrowania”. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnostyką problemów z konfiguracją oprogramowania pocztowego.