SSL vs STARTTLS
Ik wil in mijn mailprogramma een nieuw mailaccount instellen en nu staat er in de documentatie dat ik voor de SMTP server mag kiezen tussen poort 465 of 587. Nu heb ik even wat verder gelezen op internet, en als ik het goed begrijp wordt poort 465 gebruikt voor SSL en poort 587 voor STARTTLS. Maar welk protocol moet ik nu kiezen? Is het een beter/veiliger dan het ander?
In een ver verleden waren er 2 poorten: 1 voor SSL/TLS en 1 voor plaintext verkeer. Op een zeker moment is besloten dat dit zonde was, en is het STARTTLS commando in het leven geroepen: vanaf het moment dat STARTTLS wordt uitgevoerd wordt het verkeer tussen client en server versleuteld. De enige reden voor het bestaan van aparte poorten (25/587 voor plaintext en 465 voor SSL/TLS) is legacy.
Maar wat moet ik nu uiteindelijk dan kiezen?
Ik kan in mijn mailprogramma kiezen uit de versleutelingsmethodes "SSL/TLS" of "STARTTLS", en de mailprovider geeft aan dat ik kan kiezen uit poort 465 of 587. Er zijn dus 4 opties:
1) poort 465 SSL/TLS
2) poort 465 STARTTLS
3) poort 587 SSL/TLS
4) poort 587 STARTTLS
Welke optie kan ik het beste gebruiken ... welke is het veiligst?
Ik heb maar één vraag ... welke poort moet ik gebruiken 465 of 587? En welk protocol SSL/TLS of STARTTLS?
Iemand, alsjeblieft?
Het maakt niets uit welke je gebruikt, ze zijn identiek qua veiligheid. 465 bestaat omdat het eerder al bestond, 587 is nieuwer, en is net zo veilig.
Toevoeging op 20/09/2015 15:42:05:
Kortgezegd is het gewoon voorkeur en/of wat je mailclient ondersteunt.
Ben van Velzen op 20/09/2015 01:09:08:
587 is een alternatief voor poort 25
Ozzie PHP op 20/09/2015 14:31:24:
Aaahh ... dat was mijn vraag toch niet :'(
Ik heb maar één vraag ... welke poort moet ik gebruiken 465 of 587? En welk protocol SSL/TLS of STARTTLS?
Iemand, alsjeblieft?
Ik heb maar één vraag ... welke poort moet ik gebruiken 465 of 587? En welk protocol SSL/TLS of STARTTLS?
Iemand, alsjeblieft?
Als ik referenties bekijk op Internet zou poort 465 veiliger moeten zijn, omdat poort 587 alleen op smtp niveau encryptie uitvoert als deze daadwerkelijk ondersteund is op de server van de ISP.
http://stackoverflow.com/questions/15796530/what-is-the-difference-between-ports-465-and-587
Uiteindelijk maakt het niet uit wat je kiest want tegenwoordig worden vrijwel alle emails encrypted verstuurd maakt niet uit welke poort. Maar als ik een keuze zal maken zal ik kijken wat anderen doen, bijvoorbeeld onze grote zoek gigant. Die gebruikt 465.
Gewijzigd op 20/09/2015 15:59:05 door Johan K
Poort 465 is in 1997 geregistreerd bij de IANA, maar al in 1998 is die registratie teruggetrokken, omdat inmiddels STARTTLS was gespecificeerd. Het gebruik van poort 465 voor email valt dus al 17 (!) jaar buiten de standaards. Inmiddels is poort 465 geregistreerd voor een andere toepassing (Source-Specific Multicast) dus eigenlijk is het zelfs link om poort 465 te blijven gebruiken.
De voornaamste reden dat poort 465 nog steeds in gebruik is, is omdat enkele oude Microsoft Meuk Mailpakketten het versturen van mail via STARTTLS niet ondersteunen.
Mijn advies zou dus zijn om absoluut geen poort 465 te gebruiken. Niet een kwestie van voorkeur, zoals Ben zegt (alhoewel ik het met de rest van zijn opmerkingen verder wel eens ben), maar het gebruiken van poort 465 als er geen dwingende redenen zijn om dat te doen (legacy software, firewall) is simpelweg 'not done'.
In de post van Johan lees ik dat onze grote zoekgigant (die met de G?) poort 465 gebruikt. Als ik naar mijn eigen account daar kijk, zie ik gewoon poort 587 staan. Google zal poort 465 ondersteunen omdat er ongetwijfeld nog wel ergens iemand is die Entourage als mailer gebruikt, of Outlook 2011 for Mac, of zoiets dergelijks, maar dat zou ik niet als normatief beschouwen.
Wat betreft het mogelijk gepercipieerde verschil in veiligheid (omdat STARTTLS de HELO/EHLO niet versleutelt) wil ik opmerken dat zowel bij poort 465 als bij poort 587 je niet weet wat er met je mail gebeurt nádat je die hebt verstuurd. Het kan best zijn dat verderop in de keten alsnog een of meer onbeveiligde verbindingen zitten. Het versturen van (al dan niet gevoelige) informatie via SMTP is inherent onveilig. Waak er dus voor dat je je niet een vals gevoel van veiligheid aanpraat door je mail te versturen via een beveiligde verbinding, of dat nu via STARTTLS is of via SSL.
Poort 465 is voor gebruik met SSL/TLS.
Poort 587 is voor gebruik met STARTTLS.
In theorie is het mogelijk om SSL/TLS te gebruiken op poort 587 (of welk poortnummer dan ook), maar ik vrees dat er dan situaties zijn waarin je een hoop ellende over jezelf afroept.
Als je alle nuance eruit haalt, dan zou het kunnen kloppen. ;-)
Als de mailclient verbinding maakt met de server om mail af te leveren, doet hij dat initieel op een onbeveiligde verbinding. Daarna stuurt hij een STARTTLS-commando om de verbinding te upgraden naar een beveiligde verbinding.
Stel nu dat de server geen STARTTLS ondersteunt. Het upgraden van de verbinding mislukt dan. Op dat moment is het aan de mailclient om te bepalen wat er gebeurt: zal hij de mail toch afleveren via de onbeveiligde verbinding, of geeft hij een foutmelding? Ik gok zo dat de gemiddelde client waarbij je hebt ingesteld dat hij STARTTLS moet gebruiken, het laatste zal doen.
In jouw geval betreft het je eigen server. Daarvan weet je dat hij STARTTLS ondersteunt, want dat heb je immers zelf geconfigureerd. Je hoeft er dus niet bang voor te zijn dat de verbinding onbeveiligd is.
Stel jezelf tot slot de vraag: Als STARTTLS daadwerkelijk onveiliger zou zijn dan SSL/TLS, waarom zou dan al in 1998 de registratie van poort 465 zijn teruggetrokken?
Nee, het gaat niet om mijn eigen server. Het gaat om een Gmail account.
>> Overal op de route kan een mail onversleuteld worden doorgestuurd.
Oke, maar is dat zowel bij ssl/tls als bij starttls het geval?
> is dat zowel bij ssl/tls als bij starttls het geval?
Ja. De beveiliging geldt alleen tussen jouw mailclient en de server. Eigenlijk wordt het voornamelijk gebruikt om in de authenticatiefase ervoor te zorgen dat jouw password niet in plaintext wordt verstuurd.
Als de mail moet worden doorgestuurd naar een andere server, hangt het ervan af of zowel de versturende als de ontvangende server STARTTLS ondersteunen. Zo ja, dan zal in principe de verbinding automatisch omschakelen naar een beveiligde verbinding, maar anders wordt de mail gewoon ongecrypt doorgestuurd. Als verstuurder heb je daar verder geen invloed op.
Gewijzigd op 22/09/2015 13:13:06 door Willem vp
De situatie die jij beschrijft kan die zowel bij STARTTLS als bij SSL/TLS voorkomen? Of is bij SSL/TLS de verbinding wél altijd beveiligd?
Wat Ben zegt. En ik ook al een keer of twee. ;-)
Aanvulling: bij mailrelay, dus wanneer de mail door een server naar een andere server wordt doorgestuurd, wordt voor zover ik weet geen SSL/TLS gebruikt. Dat komt, omdat mailrelay altijd via poort 25 verloopt. De verbinding wordt dus altijd onbeveiligd opgezet en daarna eventueel omgezet naar een beveiligde verbinding. Dat kan alleen met STARTTLS en niet met SSL/TLS.
Gewijzigd op 22/09/2015 18:33:59 door Willem vp