Zabezpieczony dostęp do interfejsów SMTP

Zabezpieczony dostęp do interfejsów SMTP wymaga uwierzytelnienia i szyfrowania połączenia przed przyjęciem wiadomości.

Uwierzytelnienie przed przyjęciem wiadomości

Zabezpieczony dostęp do interfejsów SMTP oznacza, że serwer nie powinien przyjmować wiadomości od dowolnego klienta bez sprawdzenia jego uprawnień. W praktyce rozróżnia się serwer SMTP odbierający pocztę między domenami oraz usługę submission przeznaczoną do wysyłania wiadomości przez program pocztowy. Ta druga usługa zwykle wymaga uwierzytelnienia użytkownika, ponieważ umożliwia przekazywanie wiadomości do innych domen. Samo połączenie z portem SMTP nie jest dowodem tożsamości nadawcy.

Uwierzytelnienie SMTP jest opisane w rozszerzeniu SMTP AUTH, określonym przez RFC 4954. Klient pocztowy przekazuje serwerowi dane logowania albo wykorzystuje inny mechanizm uwierzytelniania obsługiwany przez daną konfigurację. Najczęściej spotyka się logowanie z nazwą użytkownika i hasłem, ale dostępne mechanizmy mogą zależeć od serwera oraz używanej biblioteki kryptograficznej. Serwer powinien ograniczać możliwość wysyłania poczty do kont, które zostały poprawnie uwierzytelnione, a po nieudanej próbie zwracać odpowiedź wskazującą odrzucenie uwierzytelnienia.

Szyfrowanie połączenia TLS i znaczenie STARTTLS

Uwierzytelnienie nie chroni danych, jeżeli odbywa się przez nieszyfrowane połączenie. Dlatego dostęp do interfejsu SMTP powinien wykorzystywać TLS. Szyfrowanie zabezpiecza przesyłane hasło oraz treść komunikacji między klientem a serwerem przed odczytem lub zmianą podczas transmisji. Ochrona obejmuje także polecenia SMTP, odpowiedzi serwera i dane przekazywane w sekcji wiadomości.

Jednym ze sposobów uruchomienia TLS jest rozszerzenie STARTTLS opisane w RFC 3207. Klient nawiązuje zwykłe połączenie SMTP, sprawdza, czy serwer ogłasza możliwość STARTTLS w odpowiedzi na polecenie EHLO, a następnie żąda przejścia do kanału szyfrowanego. Po pomyślnym zakończeniu negocjacji TLS klient powinien ponownie wysłać EHLO, ponieważ lista dostępnych rozszerzeń SMTP może się zmienić. Dane logowania SMTP AUTH należy przekazywać dopiero po ustanowieniu szyfrowania, chyba że używany mechanizm zapewnia odrębną ochronę i konfiguracja wyraźnie to dopuszcza.

Porty submission, tryb implicit TLS i walidacja certyfikatu

Do wysyłania poczty przez programy użytkownika powszechnie stosuje się port 587, przeznaczony dla usługi message submission zgodnie z RFC 6409. Połączenie na tym porcie może rozpocząć się w trybie jawnym, a następnie zostać przełączone do TLS za pomocą STARTTLS. Drugim rozwiązaniem jest połączenie z szyfrowaniem od pierwszego bajtu, określane jako implicit TLS. Dla usługi submission używa się w takim wariancie portu 465, którego zastosowanie jako portu dla szyfrowanego SMTP submission zostało opisane w RFC 8314.

Wybór portu musi odpowiadać konfiguracji serwera i klienta. Ustawienie trybu STARTTLS dla portu przeznaczonego do implicit TLS albo odwrotnie może skutkować błędem połączenia, mimo że nazwa hosta i dane konta są prawidłowe. Podczas negocjacji TLS klient powinien sprawdzić certyfikat serwera: jego ważność czasową, nazwę hosta oraz zaufanie do urzędu certyfikacji. Wyłączenie weryfikacji certyfikatu usuwa istotną część ochrony, ponieważ klient może zaakceptować połączenie z niewłaściwym serwerem.

Rozpoznawanie problemów z bezpiecznym SMTP

Diagnostyka zabezpieczonego dostępu powinna rozdzielać problemy sieciowe, TLS i uwierzytelnienia. Brak połączenia z portem może wskazywać na filtrację ruchu, błędny adres hosta albo niedostępną usługę. Błąd certyfikatu dotyczy zwykle nazwy hosta, daty ważności lub lokalnego magazynu zaufania. Jeżeli TLS zostaje ustanowiony poprawnie, ale serwer odrzuca SMTP AUTH, przyczyną może być nieprawidłowa nazwa użytkownika, hasło, wyłączony mechanizm uwierzytelniania albo ograniczenie dotyczące konkretnego konta.

Warto sprawdzić, czy klient otrzymuje rozszerzenie STARTTLS po poleceniu EHLO, czy połączenie rzeczywiście przechodzi do TLS oraz czy próba uwierzytelnienia następuje dopiero po szyfrowaniu. Pomocne są komunikaty diagnostyczne programu pocztowego i logi po stronie usługi, ale haseł nie należy zapisywać w logach ani przekazywać w niezaszyfrowanych zgłoszeniach. Przy konfiguracji komputera można także zweryfikować zgodność nazwy serwera wpisanej w kliencie z nazwą znajdującą się w certyfikacie oraz upewnić się, że wybrany port odpowiada trybowi szyfrowania. Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów PC i ich podzespołów, gdy problem z konfiguracją bezpiecznego SMTP wynika z nieprawidłowego działania komputera lub oprogramowania klienckiego.