E-Mail-Versand: Google, Microsoft und Yahoo verbessern Sicherheit
Die neue Technik SMTP Strict Transport Security soll Nachteile des aktuellen Verfahrens StartTLS beseitigen, das beispielsweise trotz voreingestelltem StartTLS ein Rückfall auf eine unverschlüsselte Verbindung möglich macht.
SMTP Strict Transport Security, das Google, Yahoo, Comcast, Microsoft, LinkedIn und 1&1 Mail & Media Development and Technology entwickelt haben, soll eine strengere Verschlüsselung von über das Simple Mail Transfer Protocol (SMTP) verschickte E-Mails erlauben. Ein erster Entwurf der Technik liegt nun der Internet Engineering Task Force (IETF) vor. SMTP STS soll vor allem Nachteile des derzeit verwendeten Verfahrens StartTLS beseitigen.
Zwischen Mail-Server- und Client beginnt beim StartTLS-Verfahren eine Kommunikation immer unverschlüsselt. Durch die Antwort “StartTLS” signalisiert der Server, dass die laufende Verbindung auch verschlüsselt werden kann. Allerdings handelt es sich um eine opportunistische Verschlüsselung, die dazu führen kann, dass Nachrichten unverschlüsselt, sprich im Klartext, übertragen werden, obwohl eigentlich alle Voraussetzungen für eine Chiffrierung erfüllt sind.
Dritte können laut einer von Google unterstützten Studie beispielsweise mithilfe bestimmter Netzwerkgeräte einen Rückfall auf eine unverschlüsselte Verbindung erreichen. Nutzt eine Client-Anwendung die Standardeinstellung “TLS wenn möglich”, ist es für Anwender nicht erkennbar, ob eine Verbindung verschlüsselt ist oder nicht.
Als Beispiel für derartige Eingriffe nennt die Studie Tunesien. Die Forscher stellten demnach fest, dass in dem nordafrikanischen Land 96 Prozent der E-Mails, die an Googles E-Mail-Dienst Gmail verschickt werden, im Klartext übertragen werden.
SMTP TLS soll in der Lage sein, vor Versand einer Nachricht die Sicherheitsrichtlinie des Empfängers zu prüfen. Damit wäre es möglich, die Übertragung einer E-Mail zu stoppen, wenn sie nicht sicher an den Empfänger ausgeliefert werden kann.
StartTLS wird von vielen Technologiefirmen unterstützt, darunter Amazon, Facebook, Google, Microsoft und Yahoo. Wann sie auf SMTP STS umsteigen können, ist nicht bekannt, da der Standard bisher nur als früher Entwurf vorliegt.
[mit Material von Stefan Beiersmann, ZDNet.de]
Tipp: Wissen Sie alles über Edward Snowden und die NSA? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.
