Security and SSL/TLS MUA/MTA configuration about mailserver HOT 1 CLOSED

Au niveau du MUA, je peux effectivement renforcer le chiffrement, certains clients un peu anciens pourraient être exclus ne pouvant pas faire la négociation TLS , genre sous Android 2.x ou Outlook 2007.

Par contre côté MTA, c'est compliqué parce qu'il faut prendre en compte l'ensemble des serveurs mail potentiels, à ce niveau il y a un peu de tout et n'importe quoi niveau configuration. Par exemple chez Orange, je sais que leurs serveurs ne supportent pas une annonce via STARTTLS, d'où le fait que Postfix est actuellement configuré en mode "Opportunistic TLS" au lieu de "Mandatory TLS".

Des exemples comme ça il y en a un paquet, l'écosystème mail étant assez exotique, c'est pas évident.

Récemment (2014), il était déconseillé de désactiver le protocole SSLv3, encore pour des raisons de compatibilité, les développeurs de Postfix ayant désactivés ce support par défaut que depuis mi-2015 à cause de POODLE.

Après ce qu'il faut bien comprendre c'est qu'à la base le protocole mail n'a pas été conçu pour être ultra-secure, c'est pour ça qu'une initiative du nom de DarkMail à vu le jour avec la spécification du protocole DIME (Dark Internet Mail Environment) reposant sur un chiffrement de bout en bout.

https://en.wikipedia.org/wiki/Dark_Mail_Alliance

Ce protocole n'est pas encore standardisé mais il le sera peut-être d'ici quelques années.

EDIT : je viens de re-tester la suite :

ALL:!aNULL:!eNULL:!LOW:!MEDIUM:!EXP:!RC2:!RC4:!DES:!3DES:!MD5:!PSK:!SRP:!DSS:!AECDH:!ADH:@STRENGTH

côté MUA via l'outil d'Aeris : https://tls.imirhil.fr/suite

Je la trouve plutôt de bonne facture, j'ai exclu l'ensemble des algos ayant au moins une faille connue (ou ceux qui sont "anonyme" AECDH/ADH), et j'ai modifié l'ordre des ciphers pour privilégier les tailles de clé plus grande via @STRENGTH.

Je pense qu'on a un bon équilibre entre sécurité et compatibilité.

Les deux suites que tu proposes acceptent un chiffrement de type ANONYMOUS ainsi que l'utilisation de DSS :

# AESGCM

ADH-AES256-GCM-SHA384
ADH-AES128-GCM-SHA256
DHE-DSS-AES256-GCM-SHA384
DHE-DSS-AES128-GCM-SHA256

# AES128+EECDH:AES128+EDH

DHE-DSS-AES128-SHA
DHE-DSS-AES128-SHA256
DHE-DSS-AES128-GCM-SHA256

Après je peux toujours ajouter un fichier de configuration avec plusieurs niveaux de sécurité comme on en avait discuté, je prédéfinis certains paramètres et je laisse la possibilité à ceux qui souhaitent modifier la configuration SSL/TLS de le faire via un fichier ini par exemple.

from mailserver.