Comments (1)
Au niveau du MUA, je peux effectivement renforcer le chiffrement, certains clients un peu anciens pourraient être exclus ne pouvant pas faire la négociation TLS , genre sous Android 2.x ou Outlook 2007.
Par contre côté MTA, c'est compliqué parce qu'il faut prendre en compte l'ensemble des serveurs mail potentiels, à ce niveau il y a un peu de tout et n'importe quoi niveau configuration. Par exemple chez Orange, je sais que leurs serveurs ne supportent pas une annonce via STARTTLS, d'où le fait que Postfix est actuellement configuré en mode "Opportunistic TLS" au lieu de "Mandatory TLS".
Des exemples comme ça il y en a un paquet, l'écosystème mail étant assez exotique, c'est pas évident.
Récemment (2014), il était déconseillé de désactiver le protocole SSLv3, encore pour des raisons de compatibilité, les développeurs de Postfix ayant désactivés ce support par défaut que depuis mi-2015 à cause de POODLE.
Après ce qu'il faut bien comprendre c'est qu'à la base le protocole mail n'a pas été conçu pour être ultra-secure, c'est pour ça qu'une initiative du nom de DarkMail à vu le jour avec la spécification du protocole DIME (Dark Internet Mail Environment) reposant sur un chiffrement de bout en bout.
https://en.wikipedia.org/wiki/Dark_Mail_Alliance
Ce protocole n'est pas encore standardisé mais il le sera peut-être d'ici quelques années.
EDIT : je viens de re-tester la suite :
ALL:!aNULL:!eNULL:!LOW:!MEDIUM:!EXP:!RC2:!RC4:!DES:!3DES:!MD5:!PSK:!SRP:!DSS:!AECDH:!ADH:@STRENGTH
côté MUA via l'outil d'Aeris : https://tls.imirhil.fr/suite
Je la trouve plutôt de bonne facture, j'ai exclu l'ensemble des algos ayant au moins une faille connue (ou ceux qui sont "anonyme" AECDH/ADH), et j'ai modifié l'ordre des ciphers pour privilégier les tailles de clé plus grande via @STRENGTH
.
Je pense qu'on a un bon équilibre entre sécurité et compatibilité.
Les deux suites que tu proposes acceptent un chiffrement de type ANONYMOUS ainsi que l'utilisation de DSS :
# AESGCM
ADH-AES256-GCM-SHA384
ADH-AES128-GCM-SHA256
DHE-DSS-AES256-GCM-SHA384
DHE-DSS-AES128-GCM-SHA256
# AES128+EECDH:AES128+EDH
DHE-DSS-AES128-SHA
DHE-DSS-AES128-SHA256
DHE-DSS-AES128-GCM-SHA256
Après je peux toujours ajouter un fichier de configuration avec plusieurs niveaux de sécurité comme on en avait discuté, je prédéfinis certains paramètres et je laisse la possibilité à ceux qui souhaitent modifier la configuration SSL/TLS de le faire via un fichier ini par exemple.
from mailserver.
Related Issues (20)
- Missing root CAs - Untrusted TLS connection HOT 2
- Docker swarm HOT 1
- Outgoing mail marked as spam HOT 1
- Postfixadmin create superadmin account HOT 4
- Postfix missing interdem HOT 1
- Running in Docker Swarm HOT 2
- Prevent redis DB size runaway HOT 8
- CVE-2019-11500 - Critical Dovecot vulnerability HOT 7
- Typo in LDAP virtual alias map (true vs yes) HOT 1
- Traefik acme are file detected, but not extracted to pem file HOT 2
- Can spoof inbound mail on local network HOT 3
- DBHOST and REDIS_HOST cannot be IPs HOT 1
- dkim/$DOMAIN/private.key is world readable HOT 1
- New format of acme.json in Traefik 2.0 HOT 7
- How to create a "blackhole" account / an account where mails are automatically discarded? HOT 1
- clamav-unofficial-sigs cron has curl failures HOT 1
- docker compose functionality HOT 4
- Question:Deployment on working Server
- Status of this repo / docker image HOT 62
- Postfixadmin mails refused HOT 1
Recommend Projects
-
React
A declarative, efficient, and flexible JavaScript library for building user interfaces.
-
Vue.js
🖖 Vue.js is a progressive, incrementally-adoptable JavaScript framework for building UI on the web.
-
Typescript
TypeScript is a superset of JavaScript that compiles to clean JavaScript output.
-
TensorFlow
An Open Source Machine Learning Framework for Everyone
-
Django
The Web framework for perfectionists with deadlines.
-
Laravel
A PHP framework for web artisans
-
D3
Bring data to life with SVG, Canvas and HTML. 📊📈🎉
-
Recommend Topics
-
javascript
JavaScript (JS) is a lightweight interpreted programming language with first-class functions.
-
web
Some thing interesting about web. New door for the world.
-
server
A server is a program made to process requests and deliver data to clients.
-
Machine learning
Machine learning is a way of modeling and interpreting data that allows a piece of software to respond intelligently.
-
Visualization
Some thing interesting about visualization, use data art
-
Game
Some thing interesting about game, make everyone happy.
Recommend Org
-
Facebook
We are working to build community through open source technology. NB: members must have two-factor auth.
-
Microsoft
Open source projects and samples from Microsoft.
-
Google
Google ❤️ Open Source for everyone.
-
Alibaba
Alibaba Open Source for everyone
-
D3
Data-Driven Documents codes.
-
Tencent
China tencent open source team.
from mailserver.