MTA-STS ellenőrző
A kiszolgálók közötti levelek titkosítva vannak, ha mindkét fél beleegyezik, és a középen lévő támadó megakadályozhatja őket. Az MTA-STS szerint egy tartomány azt mondja, hogy a leveleinek titkosítva kell megérkezniük, vagy egyáltalán nem. Ellenőrizze az Ön által felügyelt tartományt, és ellenőrizze, hogy a házirend közzé van-e téve, és be van-e kényszerítve.
Watched, not just checked
This is one scan of one layer, run once. In AYAsec the same check runs on a schedule across every asset you own, and you are told the day a grade drops.
Mi az MTA-STS, egy bekezdésben
Amikor az egyik levelezőszerver kézbesít egy másiknak, egyszerű szöveggel kezdődik, és kéri, hogy váltson át TLS-re. Egy támadó, aki az útvonalon ül, eltávolíthatja a kérést, és a két kiszolgáló titkosítatlanul folytatja továbbanélkül, hogy bárki észrevenné. Az MTA-STS bezárja ezt a rést. A domain egy rövid TXT rekordot és egy házirendfájlt tesz közzé saját webcímén; az azt támogató küldő szerver lekéri a házirendet, megjegyzi, majd csak az abban megnevezett levelezőszerverekre kézbesít, és csak érvényes tanúsítvánnyal rendelkező TLS-kapcsolaton keresztül.
Öt ok, hogy ellenőrizze saját MTA-STS-ét
01
A támadó által kikapcsolható titkosítás nem titkosítás
OpportunistaA TLS védelmet nyújt az ellen, hogy valaki passzívan olvassa el a leveleket. Nem véd az ellen, aki hajlandó beavatkozni, mert a leminősítés néma. Az MTA-STS az a vezérlő, amely az "általában titkosított"-t "visszautasított, hacsak nincs titkosítva"-ra változtatja.
02
A rekord önmagában nem tesz semmit
A TXT-rekord csak azt jelzi a feladóknak, hogy létezik szabályzat. Maga a házirend a https://mta-sts.yourdomain/.well-known/mta-sts.txt címen található, és elérhetőnek kell lennie, érvényes tanúsítvánnyal az adott néven. A működő házirend-fájl nélküli rekord a legáltalánosabb módja annak, hogy úgy gondolja, hogy Ön védett, ha nem.
03
A tesztelési mód kiindulópont, nem cél
A házirendnek van módja: none, testing vagy enforce. Tesztelési módban küldőktovábbra is szállít, ha a csekk sikertelen, és csak jelentse. Ez a helyes út a kezdéshez, és sok domain évekig ott marad. Csak enforce állítja le a visszaminősített kézbesítést.
04
A rossz levelezőszervereket felsoroló házirend elutasítja a saját leveleit
A házirend megnevezi a tartományhoz tartozó levelek fogadására jogosult MX-állomásokat. Váltson át egy új levelezőszolgáltatóhoz anélkül, hogy frissítené, és a házirendet érvényesítő feladók egyáltalán nem fognak kézbesíteni az új kiszolgálókra. Ezegyben a hosszú max_age kockázata is: a hibás házirend mindaddig a feladók gyorsítótárában marad, ameddig ígérte.
05
A TLS-RPT segítségével megtudhatja
A TLS-jelentés egy második TXT-rekord, amely közli a feladókkal, hogy hova küldjenek napi jelentéseket a kézbesítési hibákról és a házirend-problémákról. Enélkül a kényszerített szabályzat csendben megbukik, és a probléma első jele az az ügyfél, akinek soha nem érkezett meg a levele.
Ismerje meg azt a napot, amikor a szabályzat megváltozik
Egy MTA-STS beállításegy rekord, egy webcím, egy tanúsítvány és egy levelezőszerver lista, és mindegyiknek más tulajdonosa van.
Az ütemezett ellenőrzések ezt a változást megváltoztatják: a házirendfájl betöltése leállt, a házirend nevén lévő tanúsítvány lejárt, a mód enforce-ről visszaállt testing-re. A figyelmeztetések az alkalmazáson belül, e-mailben vagy a Slack, Teams, Jira vagy webhook segítségével érkeznek.
01. lépés · Adjon nevet a domainnek
Az Ön által felügyelt domain, hozzáadva az AYAsec-fiókjához. A tulajdonjogot a rendszer ellenőrzi, mielőtt bármit küldenek – az AYAsec nem ütemez ellenőrzéseket olyan infrastruktúra ellen, amelynek ellenőrzését nem bizonyította, és a bizonyításhoz egy DNS-rekordra van szükség. A fenti gyors ellenőrzés ezt kihagyja: nincs fiók, nincs ellenőrzés, csak IP-sebesség-korlátozás és egy szabály, hogy a célnak nyilvános címnek kell lennie.
02. lépés · Legyenaz ellenőrzés futás
A rekord és a házirend-fájl nyilvános, ezért ez olvassa, mintsem vizsgálja. Úgy kéri le őket, mint egy küldő levelezőszerver.
03. lépés · Olvassa el az eredményt
Az eredmények súlyosság szerint rendezve és A+-tól F-ig érkeznek. A hiányzó házirend és a tesztelési módban lévő házirend nem szerepel ugyanabban a megkülönböztetetlen listában.
Minek ez a része
Az MTA-STS egyike azon számos levelezéssel kapcsolatos rekordnak, amelyet az AYAsec DNS-ellenőrzésének részeként ellenőriz,az SPF, DKIM, DMARC, TLS-RPT és DNSSEC mellett. Ez egy beolvasás, és ez az oldal annak egy részét mutatja, amit néz.
A DNS az összetett osztályzat 20%-át hordozza. A többi a HTTP 30%-os, a TLS és a portok egyenként 20%-os, a domain hitelessége pedig 10%. Mindegyikük együtt milyen támadási felületkezelés azt jelenti a gyakorlatban.
Kérdések az ellenőrzés előtt
Mit ellenőrizhetek?
Az Ön tulajdonában lévő vagy tesztelésre szerződött infrastruktúra. A fenti gyors ellenőrzés nem igazolja ezt az Ön számára – csak IP-cím alapján korlátozza a sebességet, és nem hajlandó mást megcélozni, csak nyilvános címet. Ehelyett adja hozzá a tartományt egy AYAsec-fiókhoz, és az irányítás ellenőrzése megtörténik, mielőtt bármi ütemezett futna: ez egy jogi és gyakorlati határ, mivel az ellenőrizetlen vizsgálat sem használ bizonyítékként.
Az MTA-STS nyilvános. Miért van erre szükségellenőrzés?
A rekord és a szabályzat nyilvános, a csekk pedig csak olvasható, így maga a csekk ártalmatlan. Az ellenőrzés arról szól, hogy mi történik ezután: az AYAsec-fiókjában lévő domaint figyelik, osztályozzák és megtartják az előzményekben, és ezek egyike sem lehetséges egy olyan domain esetében, amely nem az Öné.
Megvédi az MTA-STS az általam küldött leveleket?
Nem. Megvédi az Ön domainjére küldött leveleket. Az irányelvtől függ, hogy egy elküldött üzenet védett-ea fogadó domain és a saját levelezőszerverén, tiszteletben tartva azt.
Mi a különbség az MTA-STS és a DANE között?
Mindkettő célja ugyanaz a visszaminősítési probléma. A DANE a DNSSEC-től függ, és a tanúsítványt a DNS-ben teszi közzé; Az MTA-STS a HTTPS protokollon és egy közönséges tanúsítványon alapul. Az MTA-STS telepítése egyszerűbb, és a nagy szolgáltatók támogatják.
Hogyan léphetek át biztonságosan a tesztelésről a végrehajtásra?
Tegye közzé az irányelvet testing módbanbekapcsolt TLS-RPT mellett olvassa el a jelentéseket néhány hétig, javítsa ki, amit mutatnak - általában egy tanúsítványt vagy egy MX nevet, amely nem egyezik -, és csak ezután változtassa meg a módot, és emelje fel max_age.
Megőrzi az eredményeket?
Nem a fenti gyorsellenőrzés – körülbelül tizenöt percig él a memóriában, így egyszer elolvashatod, aztán eltűnik. Ez egy szándékos adatvédelmi döntés, nem pedig korlátozás: rajtad kívül senki sem látja ezt a vizsgálatot, és letöltheti a teljes eredményt, mielőtt lejárna. Ehelyett adja hozzá a tartományt egy AYAsec-fiókhoz, és minden vizsgálat megtartásra kerül – egy sorozat, amely megmondja, hogy melyik szerkesztés törte meg. A megőrzés a tervtől függ.
Tartsa meg az előzményeket, ne csak aeredményt
Futtassa le a teljes DNS-ellenőrzést saját domainjeihez, ütemezetten, és minden változást megjelöl annak, akinek látnia kell.
Beágyazandó strukturált adatok
{
"@context": "https://schema.org",
"@type": "SoftwareApplication",
"name": "AYAsec MTA-STS Checker",
"applicationCategory": "SecurityApplication",
"operatingSystem": "Web browser",
"url": "https://ayasec.ai/mta-sts-checker/",
"offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}Ne adjon hozzá FAQPage vagy HowTo jelölést – a Google mindkét eredménytípust visszavonta.