☰

我是否应该对仅接收 SMTP 服务器使用 SSL？

tag-icon • tag-icon ssl smtp
我是否应该对仅接收 SMTP 服务器使用 SSL？

我正在创建一个 smtp 服务器，它不需要发送电子邮件，而只需要接收电子邮件。由于我不是专家，我想知道我是否仍应使用 SSL 证书来确保安全。例如，如果我从 Outlook 或 Gmail 客户端（我假设它们将发送已受保护的消息）向没有 SSL 的 smtp 服务器发送电子邮件，是否可能遭受中间人攻击？

答案1

是的。接收邮件时应使用 SSL/TLS。MITM 是可能的，但要求 DKIM 身份验证应能防止其操纵邮件。签名证书是缓解 MITM 的最佳方式，它们在 Let's Encrypt 中是免费的，如果您使用的平台支持它，则可以轻松实现自动化。

答案2

至于 SMTP，TLS 并不能完全阻止中间人攻击，因为强大的向后兼容性允许使用自签名证书、较旧的 TLS 和 SSL 版本，甚至回退到未加密的连接。由于到端口 25/tcp 的 SMTP 连接总是以纯文本开头，并且需要，STARTTLS因此中间人攻击很容易剥离250-STARTTLS，从而使客户相信服务器不支持 TLS。基于 DNS 的命名实体认证（丹麦，RFC 6698）解决了这个问题，但必须得到双方的支持。

尽管如此，TLS 仍然适用于 SMTP，因为不使用它会使 MitM 更容易和更难被检测到。例如，从上一个Received标头中，您应该能够看到连接是否已加密，以及使用的密码套件。

答案3

是的，你应该这样做，如果你的域名有 DNSSEC，你可能也应该部署 DANE，

答案4

是的。

  1. 它不会造成伤害。
  2. Let's Encrypt 是免费的，并且只需很少的时间来设置，特别是如果您已经在使用它。

相关内容