Какие проблемы возникают, когда мы используем самоподписанный сертификат для протокола SMTP?
Какие проблемы возникают, когда мы используем самоподписанный сертификат для протокола SMTP, то есть, когда SMTP-сервер использует самозаверяющий сертификат?
Пока пользователь принимает предупреждение об исключении из-за самозаверяющего сертификата (что может иметь место в почтовом клиенте Thunderbird), я думаю, что существует нет проблем.
Кто-нибудь может сказать мне, какие еще проблемы могут возникнуть?
Сам подписанный сертификат мог бы удержать тривиальные попытки прервать почту, но будет иметь ограниченную ценность, поскольку они могут быть MITM'd. Если Вы действительно хотите пойти этим путем, необходимо создать CA и сделать, чтобы пользователи приняли Приблизительно. К сожалению, это - возможно плохая идея для Ваших пользователей (поскольку Вы могли подписать сертификаты жулика), и ограниченного значения, потому что трафик мог все еще быть прерван между другим MTAs и Вашими.
Что-то никто больше не прокомментировал - в то время как зашифрованная доставка не является частью протокола SMTP, некоторые поставщики (например, Gmail) отметят электронную почту, как зашифрованную или не - и я размышляю (я не использую Gmail, не знайте наверняка), что MTAs, использующий сам сертификаты со знаком, не рассмотрят как безопасный.
, Поскольку другие упомянули, использование LetsEncrypt обычно является не к большому спрашивать и лучшим решением.
На сервере к связи сервера нет никакой проблемы, потому что серверы SMTP принимают любой сертификат и даже отступают к незашифрованному соединению. В этом смысле нет никакого инфраструктура открытых ключей для серверов MX. Против нападений снижения существует Основанная на DNS Аутентификация Именованных сущностей (ДАТЧАНИН) (см. RFC 7672 на безопасность SMTP через Оппортунистического датчанина TLS ), используя открытые ключи, опубликованные в DNS по открытым ключам, подписанным Приблизительно. Самоподписанные сертификаты хорошо для этого.
Для клиента к связи сервера, по крайней мере, более удобно иметь подписанный сертификат доверяемого CA. Если пользователи учатся принимать исключение, это - способ, которым более вероятно они делают так, даже когда там существует нападение на MitM. Кроме того, например, почтовый клиент Android только позволяет требовать доверяемого сертификата или принимать любого, делая нападение на MitM еще легче. Вот почему я рекомендовал бы использовать подписанный сертификат CA для клиентской связи.
даже возможно получить свободное, Давайте Зашифруем сертификат для Вашего сервера SMTP/IMAP, поскольку это не ограничено для использования того же сертификата для нескольких протоколов.
Та же проблема, которую Вы имеете с каждым самоподписанным сертификатом, клиент, не может и не должна доверять серверу. Если Вы - единственный клиент для своего smtp сервера, можно добавить CA и даже не иметь для принятия исключения. Если я буду одним из пользователей Вашего сервера, то я не буду определенно использовать его. Нет никакой гарантии, что я соединяюсь с правильным сервером, я предположу, что это - сервер жулика.
P.S. все еще часть шифрования в порядке, трафик шифруется