MTA-STS (Mail Transfer Agent Strict Transport Security) to standard, w którym domena publikuje politykę nakazującą innym serwerom pocztowym dostarczać wiadomości do niej wyłącznie przez szyfrowane połączenie TLS z ważnym certyfikatem. Chroni przed podsłuchem i atakami typu downgrade.
Po co MTA-STS?
Szyfrowanie między serwerami pocztowymi jest zwykle oportunistyczne: jeśli nie uda się nawiązać TLS, wiadomość wysyłana jest jawnie. Atakujący może wymusić taki powrót do braku szyfrowania. MTA-STS blokuje to, wskazując, że szyfrowanie jest obowiązkowe.
Jak jest wdrażany?
Składa się z rekordu TXT w DNS oraz pliku polityki udostępnianego przez HTTPS pod adresem w subdomenie mta-sts. Polityka wymienia dozwolone serwery MX i tryb działania: testowy lub egzekwujący. Towarzyszy mu raportowanie TLS-RPT.
Uwagi
Standard wymaga poprawnych certyfikatów na serwerach pocztowych. Dobrą praktyką jest zacząć od trybu testowego, śledzić raporty i dopiero potem przejść do egzekwowania polityki.
Powiązanie z innymi zabezpieczeniami poczty
MTA-STS zabezpiecza szyfrowanie transportu, a SPF, DKIM i DMARC potwierdzają, kto jest nadawcą. DANE oparte na DNSSEC to alternatywny mechanizm, ale wymaga podpisanej strefy DNS. Standardy są niezależne, więc w pełnej konfiguracji domeny stosuje się je razem.