SSL, TLS i STARTTLS odnoszą się do standardowych protokołów używanych do zabezpieczania transmisji emaili.

SSL (Secure Sockets Layer) i jego następca, Transport Layer Security (TLS), zapewniają sposób na szyfrowanie kanału komunikacyjnego pomiędzy dwoma komputerami przez Internet. W większości przypadków terminy SSL i TLS mogą być używane zamiennie, chyba że odnosisz się do konkretnej wersji protokołu.

Ponieważ TLS i SSL są protokołami warstwy aplikacji, nadawcy i odbiorcy muszą wiedzieć, że są używane do szyfrowania emaili podczas przesyłania. Właśnie tutaj wchodzi w grę STARTTLS.

STARTTLS to komenda protokołu email, która informuje serwer email, że klient email, w tym klient działający w przeglądarce internetowej, chce przekształcić istniejące niebezpieczne połączenie w bezpieczne. (Tak na marginesie, użycie „TLS” w nazwie komendy STARTTLS nie oznacza, że działa ona tylko z protokołem bezpieczeństwa TLS. Działa również z SSL.)

Jak działa SSL?

Kiedy klient email wysyła i odbiera emaile, używa TCP (Transmission Control Protocol) przez warstwę transportową, aby zainicjować „połączenie” z serwerem email. Podczas tego podstawowego procesu konfiguracji klient email informuje serwer, którą wersję SSL lub TLS używa oraz jakie zestawy szyfrów (kombinacja procesów używanych do negocjacji ustawień bezpieczeństwa) i metody kompresji chce używać.

Po zakończeniu konfiguracji, serwer email weryfikuje swoją tożsamość wobec klienta przez wysłanie certyfikatu, który jest zaufany przez oprogramowanie użytkownika lub przez zaufaną stronę trzecią. Dzięki temu klient email nie wysyła wiadomości do oszusta. Kiedy klient wie, że może zaufać serwerowi, wymieniany jest klucz między nimi, co pozwala na szyfrowanie wszystkich wysyłanych i odbieranych wiadomości.

Dlaczego powinno Cię obchodzić SSL lub TLS?

To ważne, aby używać SSL lub TLS w konfiguracji email, ponieważ niebezpieczne emaile to częsty wektor ataku dla złoczyńców. Każdy, kto przechwyci zaszyfrowane emaile, zostanie z bezużytecznym tekstem, z którym nie może nic zrobić, ponieważ tylko serwer i klient email mają klucze do dekodowania wiadomości.

To jest kluczowe dla zapewnienia ochrony nazw użytkowników, haseł, danych personalnych i innych wrażliwych informacji często znajdowanych w emailach. Jeśli atakujący odkryje słabość, będzie ją wykorzystywał tak długo, jak się da, i uzyska dane, które będą sprzedawane na czarnym rynku.

TLS jest preferowaną metodą szyfrowania, ponieważ jest nowsza i oferuje bardziej zaawansowane funkcje bezpieczeństwa niż SSL.

To również dobry pomysł, aby połączyć szyfrowanie emaili oparte na TLS z uwierzytelnianiem email w celu zapewnienia integralności wiadomości email.

Jak SparkPost używa SSL, TLS i STARTTLS?

Przychodzące wywołania API SparkPost używają HTTPS (bezpiecznej wersji HTTP) i są szyfrowane SSL/TLS. Jeśli zdecydujesz się włączyć Szyfrowanie: STARTTLS, wówczas TLS będzie używane z przychodzącym SMTP. SparkPost używa również TLS oportunistycznie do wiadomości wychodzących, co oznacza, że używa TLS do ich szyfrowania, jeśli serwer SMTP odbiorcy obsługuje TLS.