Kontroler MTA-STS

Poczta pomiędzy serwerami jest szyfrowana, gdy obie strony się na to zgadzają, a atakujący pośrodku może sprawić, że się nie zgodzą. MTA-STS to sposób, w jaki domena mówi, że jej poczta musi dotrzeć w postaci zaszyfrowanej lub wcale. Sprawdź kontrolowaną przez siebie domenę i zobacz, czy zasady zostały opublikowane i czy są egzekwowane.

Czym jest MTA-STS, w jednym akapicie

Kiedy jeden serwer pocztowy dostarcza pocztę do drugiego, zaczyna się od zwykłego tekstu i prosi o przejście na TLS. Osoba atakująca znajdująca się na ścieżce może usunąć to żądanie, a oba serwery będą działać dalej bez szyfrowaniatak, żeby nikt tego nie zauważył. MTA-STS wypełnia tę lukę. Twoja domena publikuje krótki rekord TXT i plik zasad pod własnym adresem internetowym; serwer wysyłający, który ją obsługuje, pobiera politykę, zapamiętuje ją, a następnie dostarcza tylko do wymienionych w nim serwerów pocztowych i tylko za pośrednictwem połączenia TLS z ważnym certyfikatem.

Pięć powodów, aby sprawdzić własne MTA-STS

Szyfrowanie, które atakujący może wyłączyć, nie jest szyfrowaniem

OportunistycznyTLS chroni przed biernym czytaniem poczty. Nie chroni przed kimś, kto chce się wtrącić, ponieważ obniżenie wersji jest ciche. MTA-STS to kontrola, która zmienia „zwykle szyfrowane” na „odmawiane, chyba że zaszyfrowane”.

Samo nagranie nic nie robi

Rekord TXT informuje nadawcę jedynie o istnieniu zasady. Sama polisa znajduje się pod adresem https://mta-sts.yourdomain/.well-known/mta-sts.txt i musi być osiągalna dzięki ważnemu certyfikatowi o tej nazwie. Rejestr bez działającego pliku zasad to najczęstszy sposób myślenia, że jesteś chroniony, choć tak nie jest.

Tryb testowy to punkt wyjścia, a nie cel

Polityka ma tryb: none, testing lub enforce. W trybie testowym nadawcównadal dostarczaj, gdy kontrola się nie powiedzie, i zgłaszaj to tylko. To właściwy sposób na rozpoczęcie, a wiele domen pozostaje tam przez lata. Tylko enforce zatrzymuje dostarczanie na obniżoną wersję.

Polityka wyświetlająca listę niewłaściwych serwerów pocztowych odrzuca Twoją pocztę

Zasada określa hosty MX, które mogą odbierać pocztę w domenie. Przejdź do nowego dostawcy poczty bez jego aktualizacji, a nadawcy egzekwujący tę politykę w ogóle nie będą dostarczać przesyłek na nowe serwery. Tenistnieje również ryzyko długiego max_age: nieprawidłowe zasady będą przechowywane w pamięci podręcznej przez nadawców tak długo, jak obiecałeś.

Dzięki TLS-RPT możesz się tego dowiedzieć

Raportowanie TLS to drugi rekord TXT, który informuje nadawców, gdzie mają wysyłać codzienne raporty dotyczące niepowodzeń w dostawie i problemów z zasadami. Bez tego narzucona polityka zakończy się niepowodzeniem, a pierwszą oznaką problemu jest klient, którego poczta w ogóle nie dotarła.

Poznaj dzień, w którym zmieni się Twoja polisa

Konfiguracja MTA-STSto rekord, adres internetowy, certyfikat i lista serwerów pocztowych, a każdy z nich ma innego właściciela.

Zaplanowane skanowania powodują różnicę, o której zostajesz poinformowany: ładowanie pliku zasad zostało zatrzymane, certyfikat dotyczący nazwy zasady wygasł, tryb zmienił się z enforce z powrotem na testing. Alerty docierają do aplikacji, e-mailem, poprzez Slack, Teams, Jira lub webhook.

Krok 01 · Nazwij domenę

Domena, którą kontrolujesz, dodana do Twojego konta AYAsec. Własność jest sprawdzana przed wysłaniem czegokolwiek - AYAsec nie zaplanuje skanowania infrastruktury, nad którą nie wykazałeś kontroli, ani udowadniania, że wymaga to jednego rekordu DNS. Powyższe szybkie sprawdzenie pomija to: brak konta, brak weryfikacji, jedynie ograniczenie szybkości IP i zasada, że celem musi być adres publiczny.

Krok 02 · Niechprzebieg kontroli

Rekord i plik zasad są publiczne, więc odczytuje, a nie sonduje. Pobiera je w taki sam sposób, w jaki zrobiłby to serwer poczty wysyłającej.

Krok 03 · Przeczytaj wynik

Wyniki są uporządkowane według ważności i ocenione od A+ do F. Brakująca zasada i zasada w trybie testowym nie znajdują się na tej samej niezróżnicowanej liście.

Czego to jest częścią

MTA-STS to jeden z kilku rekordów związanych z pocztą, które AYAsec sprawdza w ramach skanowania DNS,obok SPF, DKIM, DMARC, TLS-RPT i DNSSEC. To jeden skan, a ta strona dotyczy tylko jednej części tego, co przegląda.

DNS przenosi 20% oceny złożonej. Pozostałe to HTTP na poziomie 30%, TLS i porty na poziomie 20% każdy oraz wiarygodność domeny na poziomie 10%. Wszystkie razem są tym, co atak na powierzchnięzarządzanie oznacza w praktyce.

Pytania przed sprawdzeniem

Co mogę sprawdzić?

Infrastruktura, którą posiadasz lub którą masz zleconą do testowania. Powyższa szybka kontrola nie weryfikuje tego za Ciebie - ogranicza jedynie limity szybkości według adresu IP i nie kieruje reklam na nic innego niż adres publiczny. Zamiast tego dodaj domenę do konta AYAsec, a kontrola zostanie zweryfikowana przed uruchomieniem czegokolwiek zaplanowanego: granica prawna, a nie praktyczna, ponieważ niezweryfikowany skan również nie będzie dla Ciebie przydatny jako dowód.

MTA-STS jest publiczny. Dlaczego to jest potrzebneweryfikacja?

Rekord i zasady są publiczne, a czek jest tylko do odczytu, więc sam czek jest nieszkodliwy. Weryfikacja dotyczy tego, co dzieje się dalej: domena na Twoim koncie AYAsec jest monitorowana, oceniana i zapisywana w Twojej historii, a nic takiego nie powinno być możliwe w przypadku domeny, która nie jest Twoja.

Czy MTA-STS chroni wysyłaną przeze mnie pocztę?

Nie. Chroni pocztę wysyłaną do Twojej domeny. To, czy wysyłana wiadomość jest chroniona, zależy od zasaddomeny odbierającej i na własnym serwerze pocztowym, honorując ją.

Jaka jest różnica między MTA-STS i DANE?

Obydwa mają na celu ten sam problem z degradacją. DANE zależy od DNSSEC i publikuje certyfikat w DNS; MTA-STS opiera się na polityce HTTPS i zwykłym certyfikacie. MTA-STS jest prostszy we wdrożeniu i jest obsługiwany przez dużych dostawców.

Jak bezpiecznie przejść od testowania do egzekwowania?

Opublikuj politykę w trybie testingprzy włączonym TLS-RPT czytaj raporty przez kilka tygodni, popraw to, co pokazują - zazwyczaj certyfikat lub nazwa MX, która nie pasuje - i dopiero wtedy zmień tryb i podnieś max_age.

Czy przechowujesz wyniki?

To nie jest szybkie sprawdzenie powyżej – plik żyje w pamięci przez około piętnaście minut, więc możesz go przeczytać raz, a potem już go nie ma. Jest to celowy wybór dotyczący prywatności, a nie ograniczenie: nikt oprócz Ciebie nigdy nie widzi tego skanu i możesz pobrać pełny wynik przed jego wygaśnięciem. Zamiast tego dodaj domenę do konta AYAsec, a każdy skan zostanie zachowany – seria informująca, która edycja go uszkodziła. Przechowywanie zależy od Twojego planu.

Zachowaj historię, nie tylkowynik

Przeprowadź pełną kontrolę DNS we własnych domenach zgodnie z harmonogramem, a każda zmiana zostanie oznaczona każdemu, kto potrzebuje ją zobaczyć.

Rozpocznij skanowanie za darmo Porównaj plany

Pozostałe warcaby

View all free security scanners

Skaner TLS

czy certyfikat na nazwie polisy i na serwerze pocztowym jest w dobrym stanie?

– Weryfikator DMARC – co dzieje się z pocztą, która nie przeszła kontroli?

DNSsprawdzanie bezpieczeństwa - DNSSEC, serwery nazw i same rekordy

Uporządkowane dane do osadzenia

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec MTA-STS Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/mta-sts-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Nie dodawaj znaczników FAQPage ani HowTo – Google wycofał oba typy wyników.