MTA-STS チェッカー
サーバー間のメールは、双方が同意した場合に暗号化されますが、間に攻撃者がいると、双方が同意しないようにすることができます。 MTA-STS は、メールが暗号化されて到着する必要があるか、まったく暗号化されていないかをドメインが通知する方法です。 管理しているドメインをチェックして、ポリシーが公開されているかどうか、およびポリシーが強制されているかどうかを確認してください。
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
MTA-STS とは何かを 1 つの段落で説明します
あるメール サーバーが別のメール サーバーに配信するとき、そのメール サーバーはプレーン テキストで開始され、TLS への切り替えを要求します。パス内にいる攻撃者はそのリクエストを削除することができ、2 つのサーバーは暗号化されずに続行します。誰も気づかずに。 MTA-STS はそのギャップを埋めます。ドメインは、短い TXT レコードとポリシー ファイルを独自の Web アドレスで公開します。これをサポートする送信サーバーはポリシーを取得して記憶し、そのポリシーで指定されたメール サーバーにのみ、有効な証明書を持つ TLS 接続経由でのみ配信します。
独自の MTA-STS を確認する 5 つの理由
01
攻撃者がオフにできる暗号化は暗号化ではありません
日和見的TLS は、誰かがメールを受動的に読むことを防ぎます。ダウングレードはサイレントであるため、干渉しようとする者から保護することはできません。 MTA-STS は、「通常は暗号化される」を「暗号化されない限り拒否される」に変える制御です。
02
記録だけでは何も役に立ちません
TXT レコードは、ポリシーが存在することを送信者に伝えるだけです。ポリシー自体は https://mta-sts.yourdomain/.well-known/mta-sts.txt に存在し、その名前の有効な証明書を使用してアクセスできる必要があります。動作するポリシー ファイルのないレコードは、保護されていないにもかかわらず保護されていると考える最も一般的な方法です。
03
テスト モードは出発点であり、目的地ではありません
ポリシーにはモードがあります: none、testing、または enforce。テストモードの送信者チェックが失敗した場合でも配信し、報告するだけです。それが正しい開始方法であり、多くのドメインは何年もそこに留まります。 enforce のみがダウングレード配信を停止します。
04
間違ったメール サーバーをリストするポリシーにより、自分のメールが拒否される
このポリシーは、ドメインのメールの受信を許可する MX ホストに名前を付けます。更新せずに新しいメール プロバイダーに移行すると、ポリシーを適用する送信者は新しいサーバーにまったく配信しなくなります。これまた、max_age が長くなるリスクもあります。間違ったポリシーは、約束した限り送信者によってキャッシュされたままになります。
05
TLS-RPT は調べ方です
TLS レポートは、配信の失敗やポリシーの問題に関する日次レポートの送信先を送信者に指示する 2 番目の TXT レコードです。これがなければ、適用されたポリシーは沈黙のうちに機能しません。問題の最初の兆候は、メールが届かない顧客です。
ポリシーが変更される日を知る
MTA-STS セットアップレコード、Web アドレス、証明書、およびメール サーバーのリストであり、それぞれに異なる所有者がいます。
スケジュールされたスキャンは、それを通知される違いに変えます。ポリシー ファイルの読み込みが停止し、ポリシー名の証明書の有効期限が切れ、モードが enforce から testing に戻りました。アラートはアプリ内、電子メール、Slack、Teams、Jira、Webhook を通じて届きます。
ステップ 01 · ドメインに名前を付けます
AYAsec アカウントに追加された、あなたが管理するドメイン。所有権は何かが送信される前にチェックされます。AYAsec は、制御を実証していないインフラストラクチャに対してスキャンをスケジュールしません。DNS レコードが 1 つ必要であることが証明されます。上記の簡単なチェックではこれが省略されています。アカウントも検証も行わず、IP レート制限と、ターゲットがパブリック アドレスでなければならないというルールのみが適用されます。
ステップ02・しましょうチェック実行
レコードとポリシー ファイルは公開されているため、これはプローブではなく読み取りを行います。送信メールサーバーと同じ方法でそれらを取得します。
ステップ 03 · 結果を読む
結果は重大度順に到着し、A+ ～ F のスコアが付けられます。欠落しているポリシーとテスト モードのポリシーは、同じ未区別のリストには存在しません。
これは何の一部ですか
確認する前の質問
何を確認すればよいですか?
あなたが所有している、またはテストを契約しているインフラストラクチャ。上記の簡単なチェックでは、そのことは確認されません。IP によってレート制限が行われるだけで、パブリック アドレス以外はターゲットにされません。代わりにドメインを AYAsec アカウントに追加すると、スケジュールされたものが実行される前に制御が検証されます。これは、検証されていないスキャンは証拠としても役に立たないため、実際的な境界であると同時に法的な境界でもあります。
MTA-STS は公開されています。なぜこれが必要なのか確認?
レコードとポリシーは公開されており、チェックは読み取り専用であるため、チェック自体は無害です。検証とは、次に何が起こるかということです。AYAsec アカウント内のドメインは監視され、評価され、履歴に保存されますが、自分のものではないドメインではそれが不可能であるはずです。
MTA-STS は送信するメールを保護しますか?
いいえ。ドメインに送信されるメールを保護します。送信したメッセージが保護されるかどうかはポリシーによって異なります受信ドメインとそれを受け入れる独自のメール サーバー上にあります。
MTA-STS と DANE の違いは何ですか?
どちらも同じダウングレード問題を目的としています。 DANE は DNSSEC に依存し、DNS で証明書を公開します。 MTA-STS は、HTTPS 上のポリシーと通常の証明書に依存します。 MTA-STS は導入が簡単で、大手プロバイダーによってサポートされています。
テストから強制に安全に移行するにはどうすればよいですか?
testing モードでポリシーを公開するTLS-RPT をオンにして、数週間レポートを読み、表示される内容 (通常は一致しない証明書または MX 名) を修正してから、モードを変更して max_age を発生させます。
結果は保存していますか?
上記の簡単なチェックではありません。メモリ内に約 15 分間存続するため、一度読み取ると、その後は消えてしまいます。これは意図的なプライバシー上の選択であり、制限ではありません。そのスキャンはあなた以外の誰も見ることができず、有効期限が切れる前に完全な結果をダウンロードできます。代わりにドメインを AYAsec アカウントに追加すると、すべてのスキャンが保存され、どの編集によってスキャンが破損したかがわかります。保持期間はプランによって異なります。
履歴だけでなく、履歴も保存します。結果
スケジュールに従って、独自のドメインに対して完全な DNS チェックを実行し、すべての変更を確認する必要がある人にフラグを付けます。
埋め込む構造化データ
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec MTA-STS Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/mta-sts-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}FAQPage または HowTo マークアップを追加しないでください。Google は両方の結果タイプを取り消しました。