com o número de acrónimos em torno da encriptação de E-mail, não é difícil perder-se. Quase nenhum e-mail é enviado sem SSL ou TLS. STARTTLS é muitas vezes associado com eles e STLS aparece de vez em quando. Que tal ECC e RSA? Deixamo-los para a próxima. Junte-se a nós desta vez enquanto discutimos o papel de SSL/TLS e STARTTLS em criptografia de E-mail.
SSL e TLS-de que se trata?
como você pode ler em nosso artigo sobre segurança SMTP, este protocolo não é garantido por padrão., Como tal, é muito fácil para os vilões da internet para interceptar e-mails e fazer uso de informações confidenciais. Felizmente, existem métodos de encriptação que tornam as suas vidas um pouco mais difíceis.
SSL (Secure Socket Layer) e seu sucessor TLS (Transport Layer Security) são dois protocolos criptográficos usados na transmissão de E-mail. Ambos dependem de um conjunto de chaves públicas e privadas para transformar mensagens em cadeias inúteis de caracteres. Se, em qualquer fase, esse e-mail for interceptado, não será de qualquer utilidade para quem comprometeu a sua segurança.,
SSL foi originalmente desenvolvido pela Netscape em 1995 e foi rapidamente implementado nos clientes de E-mail populares na época (seu próprio cliente incluído). Quatro anos depois, um novo padrão – TLS – foi introduzido, oferecendo um perfil de segurança mais confiável.
SSL tem sido desde então depreciado, mas ainda é amplamente utilizado juntamente com o seu irmão mais novo. Na verdade, ambos os nomes são usados indistintamente e muitas vezes você pode encontrar uma referência a SSL quando TLS está sendo referido. O termo “SSL/TLS” também é comumente usado.qual é o papel das STARTTLS?,
STARTTLS não é um protocolo, mas um comando de Protocolo de E-mail. É usado para dizer a um servidor de E-mail que um cliente de E-mail (como Gmail, Outlook, etc.) quer atualizar uma conexão insegura existente para uma segura, usando SSL ou TLS.
Note que o nome ‘STARTTLS’ não indica que apenas uma conexão TLS pode ser estabelecida. SSL também pode ser usado com este comando.
STARTTLS, exceto SMTP, também é usado com o protocolo IMAP, tradicionalmente usado para obter e-mails de um servidor de E-mail. O POP3, outro protocolo para receber e-mails, usa um comando similar chamado STLS.,como funcionam os TLS / SSL e STARTTLS?
para entender o papel da criptografia nas transmissões de E-mail, precisamos explicar brevemente o que é o “aperto de mão”. Da mesma forma que os humanos em muitas culturas tendem a apertar as mãos uns dos outros no início de uma conversa, os clientes de E-mail e servidores também seguem um ritual semelhante.
Quando um e-mail é enviado, um cliente alcança um servidor para verificar sua confiabilidade. Ele compartilha as versões SSL / TLS com as quais é compatível e também o método de criptografia que se pode esperar dele., O servidor responde com seu certificado digital para confirmar sua identidade. Quando se verifica, os dois lados geram e trocam uma chave única que agora será usada para descriptografar mensagens.
para um’ aperto de mão ‘ acontecer, uma conexão precisa ser estabelecida primeiro entre um cliente e um servidor. Por padrão, uma conexão SMTP não é segura e, como tal, vulnerável a ataques. É por isso que ambos os lados tentarão estabelecer uma ligação segura., Existem duas abordagens:
- Com SSL / TLS oportunistas (também conhecido como SSL/TLS explícito), um cliente irá executar um comando STARTTLS para atualizar uma conexão para um criptografado. Se um servidor for compatível e nenhum erro ocorrer, a conexão segura TLS ou SSL será estabelecida. Se alguma coisa falhar no processo, uma transmissão de texto simples será estabelecida.
- Com SSL/TLS forçados( também conhecido como SSL/TLS implícito), um cliente irá tentar estabelecer uma ligação segura sem perguntar a um servidor sobre a sua compatibilidade. Se for bem sucedido, será criada uma ligação segura e seguir-se-á um aperto de mão., Se um servidor não é compatível ou um tempo de conexão para fora, uma transmissão será abandonada.
ambos são de uso comum nos dias de hoje e usam portas dedicadas para estas transmissões.
quais as portas que são usadas para SSL/TLS implícitas e explícitas?
por muitos anos, a porta 25 foi usada por padrão para enviar e-mails para MTAs (servidores de E-mail) e retransmiti-los entre MTAs. Ao longo do tempo, isso levou a uma enorme quantidade de spam sendo enviado através deste porto (e ainda é).
novas portas foram anunciadas desde então e 25 foram limitadas principalmente para fins de retransmissão SMTP., O Port 587 surgiu como a opção mais popular para a submissão SMTP.
embora esta porta não exija que STARTTLS sejam usados, as plataformas que a utilizam na sua maioria o fazem. Além disso, eles também requerem um nome de usuário e senha para Autenticação, tornando ainda mais difícil falsificar as contas reais. Se você quiser usar um SSL / TLS explícito, o porto 587 deve ser sua escolha. Como alternativa, o porto 2525 também é comumente usado.
por um breve período de tempo, o porto 465 foi o porto recomendado para envio de E-mail., Esta decisão foi rapidamente revogada, a favor do Porto 587, mas muitos clientes e servidores já a tinham implementado. Como tal, tornou-se uma alternativa comum para 587 para aqueles dispostos a usar SSL/TLS implícitos (forçando uma conexão criptografada ao invés de tentar atualizá-la com STARTTLS).atualmente, muitos clientes de E-mail, Gmail e Yahoo! included, use both port 465 (for Implit SSL/TLS) and 587 (for Explicit SSL/TLS), while others limit themselves only to 587.
As coisas estão definidas a mudar, porém, como outras tentativas são feitas para impor o uso de TLS em ambos os clientes e servidores., Em 2018, A Força-Tarefa de Engenharia da Internet (IETF) recomendou que o uso de TLS implícitos via port 465 é o caminho a seguir. O tempo dirá se as STARTTLS se tornarão redundantes um dia ou se ambas as abordagens serão usadas de mãos dadas durante os próximos anos.
Leia mais sobre as portas de SMTP no nosso outro artigo.
IMAP e POP (principalmente POP3) também usam portas diferentes para SSL/TLS implícitos e explícitos. IMAP recupera e-mails através da porta 143 quando STARTTLS está no lugar e através da porta 993 quando usando SSL/TLS implícitos. POP usa as portas 110 e 995, respectivamente.,
SSL / TLS version history
como mencionamos anteriormente, SSL já foi desactualizado por alguns anos e TLS é considerado o desenvolvimento mais confiável em criptografia de E-mail. Apesar disso, algumas plataformas ainda usam SSL, apesar de suas vulnerabilidades.
Como você já deve saber, SSL e TLS são usados alternadamente. Como tal, não é incomum ver um cliente ou um servidor oferecendo a mais recente criptografia SSL para seus usuários. Mas não há necessidade de desesperar. Deve ser o TLS que alimenta as transmissões. Uma pesquisa rápida não faz mal.,
Here’s a summary of all the SSL/TLS versions published to date:
| Protocol | Year published | Current status |
| SSL 1.0 | Never published | Never published |
| SSL 2.0 | 1995 | Deprecated since 2011 |
| SSL 3.0 | 1996 | Deprecated since 2015 |
| TLS 1.0 | 1999 | To be deprecated in 2020 |
| TLS 1.,1 | 2006 | Para ser preterido em 2020 |
| TLS 1.2 | 2008 | apoiou Ativamente |
| TLS 1.3 | 2018 | apoiou Ativamente |
SSL 1.0 nunca foi publicado como graves falhas de segurança foram descobertos antes mesmo de ela ser anunciada. Como resultado, SSL 2.0 foi o primeiro protocolo que foi amplamente disponível.
com o lançamento do TLS 1.3 em 2018, as duas primeiras versões do TLS devem ser depreciadas., Se você está prestes a escolher um provedor e estão comparando diferentes ofertas, certifique-se de que o seu funciona em TLS 1.2 ou mais recente.
encerrando
esteja ciente de que, mesmo com a tecnologia antiga como SMTP, as coisas podem mudar muito rapidamente. Uma nova versão do TLS ou mesmo um protocolo completamente diferente podem ser introduzidos. Alguns portos poderiam tornar-se redundantes, enquanto outros subirão à fama. Quando isso acontecer, teremos a certeza de atualizar o artigo, mas tente estar sempre à procura das últimas notícias e tendências na indústria.,
siga o nosso blog e você vai aprender muito sobre o envio de E-mail, protocolos e abordagens. Além disso, tente Mailtrap gratuitamente e nunca spam seus clientes por acidente novamente. Cuida-te!se gostou deste artigo, por favor partilhe e espalhe a palavra. Vamos ficar muito agradecidos.
Deixe uma resposta