Bảo mật email với chuẩn SMTP STS

19/10/2019

Mặc dù có nhiều ứng dụng nhắn tin nhưng email vẫn là một trong những phương tiện giao tiếp được sử dụng phổ biến nhất hiện nay và vấn đề bảo mật email luôn được quan tâm hàng đầu.

Email của bạn có an toàn?

Các dịch vụ email đã có hàng chục năm nay, và giao thức Simple Mail Transfer Protocol (SMTP) từ thập niên 1980 được dùng để gửi email thì quá cũ và không có khả năng bảo mật an toàn.

Để khắc phục vấn đề này, vào năm 2002, giao thức SMTP được nâng cấp lên SMTP STARTTLS dùng TLS để bảo mật kết nối, nhưng STARTTLS dễ bị tấn công theo phương thức Man-in-the-middle (MitM).

Nhưng đừng lo, sắp có một chuẩn bảo mật mới!

SMTP STS: nỗ lực làm cho email an toàn hơn

Các nhà cung cấp dịch vụ email hàng đầu, cụ thể là Google, Microsoft, Yahoo, Comcast, LinkedIn, và 1&1 Mail & Media Development đã liên minh phát triển một chuẩn email mới đảm bảo các email bạn gửi sẽ được đi qua một kênh mã hóa và không thể can thiệp.

Viết tắt của SMTP Strict Transport Security (SMTP STS – SMTP bảo mật thông tin truyền tải nghiêm ngặt), chuẩn bảo mật mới này sẽ thay đổi cách email đi đến hộp thư của bạn.

SMTP STS được thiết kế để tăng cường bảo mật việc thông tin liên lạc qua email. Chuẩn mới này đã trình tổ chức Internet Engineering Task Force (IETF) phê duyệt hồi giữa tháng 3/2016.

Mục tiêu chính của SMTP STS là ngăn chặn các cuộc tấn công MitM đã bẻ gẫy những nỗ lực trước đây như STARTTLS trong việc bảo mật cho SMTP.

Lý do STARTTLS không thể bảo mật email

Vấn đề lớn nhất với STARTTLS là nó không có khả năng chống đỡ các cuộc tấn công MitM, vì vậy không đảm bảo việc bảo mật email và cả việc xác thực máy chủ. 

Quy trình xác thực và triển khai giao dịch giữa 2 máy chủ email.

Trong cơ chế STARTTLS, khi một khách hàng “ping” một máy chủ, thoạt đầu khách hàng hỏi máy chủ xem có hỗ trợ SSL hay không. Máy chủ trả lời gì không bàn, vấn đề là quá trình bắt tay xảy ra trong trạng thái không được mã hóa.

Vì vậy, nếu hacker chen ngang lấy thông tin liên lạc không được mã hóa này và thay đổi quá trình bắt tay để lừa khách hàng tin rằng máy chủ không hỗ trợ thông tin liên lạc được mã hóa thì có thể thực hiện một cuộc tấn công MitM.

Người dùng cuối cùng sẽ liên lạc không SSL (không mã hóa), mặc dù máy chủ có hỗ trợ.

Cách thức SMTP STS cải thiện bảo mật email

SMTP STS làm việc cùng STARTTLS để tăng cường cho SMTP và tránh các cuộc tấn công MitM.

SMTP STS bảo vệ chống hacker can thiệp hoặc sửa đổi email giữa các máy chủ có hỗ trợ STARTTLS, dựa trên việc kiểm tra TLS (Transport-Layer Security - bảo mật lớp truyền tải thông tin) hoặc DANE TLSA (DNS-based Authentication of Named Entities for Transport-Layer Security - Xác thực TLS dựa trên DNS).

Chuẩn bảo mật email mới này sẽ kiểm tra xem người nhận có hỗ trợ SMTP STS và có chứng nhận mã hóa hợp lệ và được cập nhật hay không.

Nếu mọi thứ ổn thỏa, nó cho phép email đi qua. Nếu không, nó sẽ chặn email gửi đi và thông báo cho bạn biết lý do.

Trong ngắn hạn, SMTP STS là nỗ lực nhằm khắc phục điểm yếu của STARTTLS. Chuẩn này hiện chỉ mới là dự thảo, bạn cần phải chờ cho đến khi nó được phê duyệt chính thức.

Được biết, Internet Engineering Task Force cần 6 tháng để xem xét dự thảo này.

Nguồn: TheHackerNews

 

 

Tin liên quan

25/03/2020

Cần chuẩn bị những gì để làm việc từ xa trong thời gian dịch Covid-19 diễn ra?

Để có thể làm việc từ xa hiệu quả bạn cần phải chuẩn bị rất nhiều thứ, trong đó có việc đảm bảo có máy tính kết nối Internet, sử dụng thành thạo các phần mềm lưu trữ, bảo mật riêng của cơ quan,...

23/03/2020

Phương pháp triển khai và vận hành quy trình làm việc từ xa cho doanh nghiệp

Làm việc từ xa là một khái niệm không mới với các freelancer hay các nhóm làm việc đa quốc gia, đặc biệt là trong lúc dịch bệnh Covid-19 đang hoành hành như hiện nay.

18/03/2020

Cloud PC (VDI) là gì? Cloud PC gồm những thành phần nào?

Cloud PC là giải pháp máy tính ảo được xây dựng dựa trên công nghệ điện toán đám mây, lưu trữ dữ liệu máy tính người dùng tại trung tâm dữ liệu, được trang bị nhiều lớp bảo mật.

18/03/2020

Giải pháp Cloud PC (VDI) đem lại những lợi ích nào cho doanh nghiệp?

Cloud PC (VDI) đem đến nhiều lợi ích lớn cho doanh nghiệp, trong đó có thể kể đến như việc làm giảm đi đáng kể mức chi phí phải đầu tư về tài nguyên phần cứng cho toàn hệ thống máy tính làm việc.

18/03/2020

Cloud Camera là gì? So sánh Cloud Camera và Camera truyền thống?

Giải pháp Cloud Camera là hệ thống truyền dẫn tín hiệu và lưu trữ dữ liệu video từ các Camera phân tán, cho phép người dùng xem, tương tác với các camera và dữ liệu video trực tuyến qua mạng, mang lại nhiều lợi ích cho doanh nghiệp.

18/03/2020

Cloud Camera - Giải pháp quản trị doanh nghiệp hiệu quả

Sử dụng Cloud Camera, doanh nghiệp có thể theo dõi cùng lúc nhiều địa điểm, chi nhánh trên cùng một giao diện, một tài khoản; theo dõi và truy xuất dữ liệu 24/7 (không lo mất dữ liệu khi đầu ghi hình hỏng như các giải pháp Camera truyền thống).

10/03/2020

Học trực tuyến - Khi E-Learning kết hợp với công nghệ điện toán đám mây

Đám mây" (Cloud) có những ảnh hưởng tích cực tới giáo dục như tiết kiệm chi phí thiết lập phần mềm đào tạo, phát triển các khóa học trực tuyến,... Cloud cho phép con người lưu trữ mọi tập tin, dịch vụ và tài sản kỹ thuật số trên máy chủ ảo, đồng thời có thể chia sẻ với các thiết bị ở bất cứ nơi đâu, bất kỳ thời gian nào.

07/03/2020

Xu hướng tương lai của nghề IT và công nghệ điện toán đám mây

Điện toán mây đã và đang hiện diện ở rất nhiều nơi, từ công việc cho đến cuộc sống. Các "đám mây" đã thay đổi đáng kể cách con người sử dụng máy tính và nó cũng tạo ra nhiều cơ hội và thách thức cho nghề IT trong tương lai.

04/03/2020

VMware bổ nhiệm Giám đốc phát triển đối tác mới, định hướng chuyển đổi số tại Việt Nam

Theo VMware, việc bổ nhiệm ông Venkatesh Murali vào vị trí Giám đốc Phát triển đối tác sẽ thúc đẩy hơn nữa hành trình chuyển đổi số và lên đám mây của các khách hàng tại những thị trường năng động, tăng trưởng nhanh ở châu Á, trong đó có Việt Nam.

13/02/2020

Ảo hóa Container và Virtual Machine khác nhau như thế nào?

Ảo hóa là một công nghệ được thiết kế để tạo ra tầng trung gian giữa hệ thống phần cứng máy tính và phần mềm chạy trên nó. Vậy ảo hóa Container và Virutal Machine có gì khác nhau?