SSL/TLS

SSL/TLS to protokoły szyfrujące połączenie, chroniące dane przesyłane między klientem a serwerem pocztowym.

SSL i TLS w połączeniach pocztowych

SSL/TLS to protokoły kryptograficzne używane do zabezpieczania połączenia między klientem pocztowym a serwerem. W praktyce określenie „SSL” jest dziś często używane jako skrót myślowy, ponieważ kolejne wersje SSL zostały wycofane i zastąpione przez TLS. SSL 2.0 i SSL 3.0 nie powinny być używane, podobnie jak TLS 1.0 i TLS 1.1. Współczesne konfiguracje poczty powinny korzystać przede wszystkim z TLS 1.2 albo TLS 1.3, zależnie od możliwości programu pocztowego i serwera.

Podczas ustanawiania sesji TLS klient i serwer uzgadniają wersję protokołu oraz zestaw algorytmów kryptograficznych. Serwer przedstawia certyfikat, który zawiera jego nazwę i jest podpisany przez urząd certyfikacji. Klient sprawdza między innymi zgodność nazwy hosta z certyfikatem, okres ważności certyfikatu oraz zaufanie do łańcucha certyfikatów. Po pomyślnym uzgodnieniu parametrów tworzony jest klucz sesyjny używany do szyfrowania dalszej komunikacji.

Dwa sposoby uruchamiania szyfrowania w SMTP, IMAP i POP3

W poczcie spotyka się szyfrowanie jawne, nazywane implicit TLS, oraz przejście do TLS po rozpoczęciu połączenia, czyli STARTTLS. Przy implicit TLS klient od początku łączy się z portem przeznaczonym dla szyfrowanej sesji. Typowe porty to 465 dla szyfrowanego przesyłania poczty SMTP submission, 993 dla szyfrowanego dostępu IMAP oraz 995 dla szyfrowanego dostępu POP3. Sam numer portu nie dowodzi jednak, że usługa działa poprawnie; musi być zgodny z konfiguracją konkretnego serwera.

STARTTLS zaczyna się od zwykłego połączenia protokołu pocztowego. Klient wysyła zapytanie o obsługiwane rozszerzenia, a następnie żąda przejścia do TLS. Dla SMTP submission STARTTLS jest często spotykany na porcie 587, natomiast dla IMAP i POP3 może być dostępny na portach 143 i 110. Jeżeli klient zażąda STARTTLS, ale serwer go nie obsługuje albo wystąpi błąd negocjacji, aplikacja nie powinna po cichu kontynuować transmisji w postaci jawnego tekstu. W przeciwnym razie hasło do skrzynki i treść wiadomości mogą zostać przechwycone przez osobę mającą dostęp do ruchu sieciowego.

Szyfrowanie połączenia klient–serwer nie oznacza automatycznie, że cała droga wiadomości między nadawcą a odbiorcą jest szyfrowana w identyczny sposób. TLS chroni konkretny odcinek komunikacji, na przykład program pocztowy do serwera poczty przychodzącej lub wychodzącej. Dalszy transport między serwerami może korzystać z innych ustawień, dlatego konfigurację należy oceniać osobno dla odbierania i wysyłania wiadomości.

Certyfikat, negocjacja TLS i typowe objawy błędu

Najczęstszy problem z SSL/TLS w programie pocztowym wynika z niezgodności nazwy serwera z certyfikatem. Jeżeli klient łączy się z adresem poczta.example.pl, a certyfikat wystawiono wyłącznie dla innej nazwy, program może wyświetlić ostrzeżenie mimo tego, że certyfikat jest podpisany przez zaufane centrum. Błąd może też wynikać z wygaśnięcia certyfikatu, niepełnego łańcucha certyfikatów, nieprawidłowego zegara systemowego albo braku aktualnych certyfikatów urzędów certyfikacji w systemie operacyjnym.

Komunikaty typu „nie można ustanowić bezpiecznego połączenia”, „certyfikat serwera jest nieważny” lub „negocjacja TLS nie powiodła się” nie wskazują jednego uniwersalnego uszkodzenia. Przyczyną może być wybranie przez użytkownika niewłaściwego trybu szyfrowania, pomylenie portu implicit TLS z portem STARTTLS, blokowanie połączenia przez zaporę sieciową albo używanie starego programu, który nie obsługuje wymaganej wersji TLS. Zdarza się również, że serwer wymaga uwierzytelnienia przed wysłaniem wiadomości, a klient ma wyłączone uwierzytelnianie SMTP lub używa innej metody niż przewidziana przez dostawcę.

Do diagnostyki można użyć narzędzia OpenSSL, ale wynik trzeba interpretować w odniesieniu do konkretnego portu i trybu pracy. Dla połączenia implicit TLS przykładowe polecenie openssl s_client -connect poczta.example.pl:993 -servername poczta.example.pl pozwala obejrzeć certyfikat i parametry sesji IMAP. Dla usługi STARTTLS konieczne jest wskazanie właściwego trybu, na przykład -starttls smtp, -starttls imap albo -starttls pop3. Sam pomyślny test TLS nie potwierdza poprawności loginu, hasła, konfiguracji skrzynki ani dostarczania wiadomości.

Sprawdzenie konfiguracji SSL/TLS w komputerze użytkownika

Przy problemach z pocztą warto najpierw porównać ustawienia programu z dokumentacją dostawcy skrzynki: nazwę hosta, numer portu, sposób szyfrowania, wymaganie STARTTLS oraz metodę uwierzytelniania. Należy osobno sprawdzić serwer poczty przychodzącej IMAP lub POP3 i serwer SMTP. Nie powinno się zatwierdzać ostrzeżenia o nieznanym lub niezgodnym certyfikacie bez ustalenia przyczyny, ponieważ takie działanie omija mechanizm potwierdzający tożsamość serwera. Aktualizacja systemu i klienta pocztowego może przywrócić obsługę współczesnych certyfikatów oraz TLS 1.2 lub TLS 1.3, ale nie naprawi błędnego adresu serwera ani źle dobranego portu.

Jeżeli błąd występuje tylko na jednym laptopie lub komputerze PC, diagnostyka powinna obejmować datę i godzinę systemową, aktualność systemu, zaporę, oprogramowanie antywirusowe skanujące pocztę oraz ustawienia klienta pocztowego. Jeżeli ten sam komunikat pojawia się na kilku urządzeniach, bardziej prawdopodobna jest zmiana po stronie serwera, wygaśnięcie certyfikatu albo przerwa w działaniu usługi. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z systemem, klientem pocztowym, certyfikatami oraz konfiguracją bezpiecznych połączeń.