STARTTLS

aus Wikipedia, der freien Enzyklopädie

Du hast neue Nachrichten auf deiner Diskussionsseite.

STARTTLS bzw. StartTLS bezeichnet ein Verfahren zur sicheren Kommunikation beim E-Mail-Transport via TLS und ermöglicht dadurch Authentifizierung, Integrität und Vertraulichkeit der übertragenen Nachrichten.

Bei der Erweiterung des Übertragungsprotokolls SMTP zu ESMTP wurde eine neue Serverantwort STARTTLS spezifiziert, die anzeigt, dass die weitere Kommunikation verschlüsselt erfolgen kann.

Die anfängliche Abstimmung zwischen Client und Server, ob eine Verschlüsselung erfolgen soll, geschieht häufig durch Ansprache unterschiedlicher Ports für unverschlüsselte bzw. verschlüsselte Kommunikation.

Beispiele für Standardports:

SMTP auf Port 25 und SMTPS auf Port 465
IMAP auf Port 143 und IMAPS auf Port 993
POP3 auf Port 110 und POP3S auf Port 995

Im Gegensatz dazu verwendet die nach STARTTLS mögliche Kommunikation die bestehende SMTP-Verbindung (standardmäßig auf Port 25) weiter. Ein essentieller Vorteil bei STARTTLS ist die Tatsache, dass die Peers die Fähigkeiten aushandeln können; wird auf einem dedizierten SSL Port eine Klartextverbindung aufgebaut, kommt es zwangsläufig zum Abbruch, in umgekehrter Kombination ebenso. Dank STARTTLS kann zum Beispiel der Client (ohne Userinteraktion) wahrnehmen, dass der Server die Erweiterung bietet und automatisch Gebrauch davon machen. Im Alternativfall müsste der Client erst den dedicated Port anvisieren, auf den Timeout warten und danach den Klartext-Port testen.

Ein essentieller Nachteil ist jedoch die Tatsache, dass beim Firewalling eine Applikation-Layer Analyse nötig wird, um verschlüsselte und unverschlüsselte Verbindungen zu unterscheiden. Ähnliches trifft auf Proxys zu, die zwar auf Applikationseben arbeiten, aber über die Portunterscheidung sehr viel leichter und schneller darüber entscheiden können, ob ein Caching ausgeführt werden soll.

Ein weiterer Nachteil ist, dass über Ausfiltern/Überschreiben des STARTTLS-Befehls z. B. auf Firewalls die Verbindung unverschlüsselt bleibt, was für den Nutzer meist unbemerkt geschieht. Dies ist bei explizit verschlüsselten Protokollen wie SMTPS (tcp/465), IMAPS (tcp/993) und POP3S (tcp/995) nicht möglich.

[Bearbeiten] HTTP

Für HTTP gibt es mit RFC 2817 ein, zu STARTTLS vergleichbares, Verfahren um TLS-Verbindungen aufzubauen. Üblicherweise wird hier aber HTTPS nach RFC 2818 verwendet.