brak TLS/SSL

Brak TLS/SSL to zbiorcze określenie usterki konfiguracji uniemożliwiającej szyfrowanie połączenia z serwerem pocztowym.

Czym jest brak TLS/SSL w konfiguracji poczty

Brak TLS/SSL oznacza, że program pocztowy nie może ustanowić szyfrowanego połączenia z serwerem pocztowym albo korzysta z połączenia nieszyfrowanego. Współcześnie określenie „SSL” jest często używane jako nazwa ustawienia, chociaż protokoły SSL 2.0 i SSL 3.0 są przestarzałe i nie powinny być używane. Do zabezpieczania poczty stosuje się TLS, najczęściej w wersji 1.2 lub 1.3, zależnie od możliwości programu i serwera.

Szyfrowanie TLS chroni dane przesyłane między aplikacją pocztową a serwerem. Dotyczy to między innymi nazwy użytkownika, hasła, treści wiadomości oraz informacji technicznych przekazywanych podczas sesji. Samo użycie TLS nie oznacza jednak, że wiadomość będzie szyfrowana na całej drodze od nadawcy do odbiorcy. W tym haśle chodzi przede wszystkim o bezpieczne połączenie programu pocztowego z serwerem obsługującym konto.

Połączenia SMTP, IMAP i POP3 a szyfrowanie

Problem braku TLS/SSL może dotyczyć różnych protokołów pocztowych. SMTP służy do wysyłania wiadomości, natomiast IMAP i POP3 służą do ich odbierania. Dla SMTP często wykorzystuje się port 587 z mechanizmem STARTTLS. W takim trybie połączenie rozpoczyna się bez szyfrowania protokołu aplikacyjnego, a następnie jest przełączane na TLS po wykonaniu odpowiedniej komendy. Port 465 jest zwykle używany do SMTP z szyfrowaniem TLS rozpoczynającym się od razu po nawiązaniu połączenia.

W przypadku odbierania poczty szyfrowany IMAP jest standardowo kojarzony z portem 993, a szyfrowany POP3 z portem 995. Nieszyfrowane warianty tych protokołów tradycyjnie korzystają odpowiednio z portów 143 i 110, ale ich użycie może być zablokowane przez dostawcę poczty lub niezgodne z wymaganiami bezpieczeństwa. Sam numer portu nie wystarcza do poprawnej konfiguracji, ponieważ musi odpowiadać wybranemu trybowi szyfrowania: TLS od początku połączenia albo STARTTLS.

Objawy i przyczyny odrzucenia połączenia

Typowym objawem jest komunikat o braku bezpiecznego połączenia, błędzie negocjacji TLS, nieprawidłowym certyfikacie albo niemożności uwierzytelnienia serwera. Program może również zgłaszać przekroczenie czasu oczekiwania, gdy połączenie jest kierowane na port, na którym serwer nie obsługuje wybranego protokołu. W niektórych przypadkach wysyłanie wiadomości działa, ale odbieranie nie, ponieważ SMTP, IMAP i POP3 mają osobne ustawienia serwera, portu i szyfrowania.

Przyczyną może być wybranie opcji „brak szyfrowania” zamiast TLS lub STARTTLS, pomylenie portu 465 z portem 587, wpisanie błędnej nazwy hosta albo nieaktualna aplikacja pocztowa. Połączenie może zostać odrzucone także wtedy, gdy certyfikat serwera jest wygasły, wystawiony dla innej nazwy domenowej lub podpisany przez urząd certyfikacji, któremu system nie ufa. Znaczenie ma również data i godzina na komputerze, ponieważ znaczne odchylenie zegara może spowodować uznanie prawidłowego certyfikatu za nieważny. Dodatkową przeszkodą bywają zapory sieciowe, programy antywirusowe analizujące ruch szyfrowany oraz sieci, które filtrują wybrane porty.

Sprawdzanie ustawień i przywrócenie bezpiecznej komunikacji

Diagnostykę zaczyna się od ustalenia, czy problem dotyczy wysyłania, odbierania, czy obu kierunków. Następnie porównuje się nazwę serwera, protokół, numer portu, typ szyfrowania i sposób uwierzytelniania z aktualnymi wymaganiami dostawcy poczty. Dla SMTP trzeba osobno zweryfikować wymaganie uwierzytelnienia użytkownika, ponieważ serwer może odrzucać wysyłanie bez potwierdzenia tożsamości. W ustawieniach odbierania należy sprawdzić, czy konto korzysta z IMAP, czy z POP3, oraz czy wybrano właściwy port szyfrowany.

Jeżeli certyfikat jest zgłaszany jako nieważny, nie należy bez sprawdzenia akceptować ostrzeżenia ani wyłączać weryfikacji certyfikatu. Trzeba potwierdzić poprawność nazwy serwera, daty i godziny systemowej oraz aktualność systemu i programu pocztowego. Po zmianie konfiguracji warto wykonać osobną próbę odbioru i wysyłki, sprawdzić logowanie do konta oraz upewnić się, że połączenie nie wróciło do trybu nieszyfrowanego. Warszawskie Pogotowie Komputerowe wykonuje diagnostykę i naprawę konfiguracji laptopów oraz komputerów PC, gdy błąd TLS/SSL uniemożliwia korzystanie z poczty.