MTA-STS for .no-domener: Slik sikrer du e-posten

MTA-STS er en standard som tvinger andre e-postservere til å bruke kryptert tilkobling (TLS) når de sender e-post til domenet ditt. Den hindrer at noen snapper eller omdirigerer meldingene dine under overføringen. Her ser du hva MTA-STS er, når det er verdt å sette opp, og hvordan du gjør det for et .no-domene. Har du ikke registrert domenet ennå, kan du registrere det hos Feno på få minutter.

TL;DR: MTA-STS gjør at innkommende e-post til domenet ditt alltid må bruke TLS. Oppsettet er gratis og består av én DNS-post, én policy-fil og helst én post for TLS-rapportering. Start i testmodus, og skru til skarp modus når du ser at alt fungerer.

Hva er MTA-STS?

MTA-STS står for SMTP MTA Strict Transport Security. Det er en åpen standard som publiseres via DNS-poster (Domain Name System) og forteller andre e-postservere at de må bruke STARTTLS når de leverer e-post til deg.

Uten en slik mekanisme kan en angriper i nettverket mellom to servere tvinge e-posttrafikken over på en ukryptert forbindelse. Det kalles et nedgraderingsangrep, eller STRIPTLS. MTA-STS gjør det betydelig vanskeligere, fordi mottakerserveren erklærer på forhånd at den bare tar imot e-post med TLS.

Oppsettet består av to deler:

En TXT-post på _mta-sts.<domenet ditt>, for eksempel _mta-sts.mittfirma.no.
En policy-fil som ligger på https://mta-sts.<domenet ditt>/.well-known/mta-sts.txt.

Slik ser policy-filen ut

Policy-filen er en ren tekstfil med noen få linjer:

version: STSv1 mode: enforce mx: mail.mittfirma.no max_age: 604800

mode bestemmer hvor strengt reglene håndheves. mx viser hvilken e-postserver som er godkjent. max_age forteller andre servere hvor lenge de kan huske policyen. TTL (time to live) er hvor lenge en DNS-post kan lagres i mellomlagre hos andre, og for policyen er det nettopp max_age som styrer dette.

Når er MTA-STS verdt det?

MTA-STS er først og fremst aktuelt for domener som mottar e-post på en server du selv kontrollerer. Det gjelder både større bedrifter og små firmaer som kjører egen e-postserver.

Du bør også vurdere det hvis du vil ha full kontroll over sikkerheten i mottakskjeden, selv med et eksternt e-postsystem. For domener som aldri mottar e-post, gir standarden liten verdi.

To ting gjør oppsettet enkelt i Norge: .no-regelverket krever at registranten selv styrer domenet, og registraren gir deg tilgang til DNS-innstillingene direkte. Du trenger altså ingen tredjepart for å publisere standarden.

MTA-STS og DNSSEC utfyller hverandre

MTA-STS krever ikke DNSSEC. DNSSEC (Domain Name System Security Extensions) signerer DNS-svarene kryptografisk og er en forutsetning for den beslektede standarden DANE. Feno signerer alle .no-domener med DNSSEC automatisk og sender DS-posten til Norid for deg. Da kan du kombinere MTA-STS og DANE for ekstra beskyttelse, uten ekstra arbeid.

Hva er TLS-rapportering?

TLS-rapportering, også kalt TLS-RPT, sender deg en rapport hver gang noe går galt med TLS-forbindelsen. Du aktiverer den med en TXT-post på _smtp._tls.<domenet ditt>:

v=TLSRPTv1; rua=mailto:rapport@mittfirma.no

Rapportene viser blant annet om en avsender ikke støtter STARTTLS, eller om policyen din feiler. Aktiver TLS-rapportering før du slår på MTA-STS i skarp modus, så oppdager du problemer før e-post faktisk avvises.

Slik setter du opp MTA-STS for et .no-domene

Sjekk at e-postserveren fungerer med TLS. Serveren må ha et gyldig sertifikat for de MX-postene du skal godkjenne.
Legg inn TXT-posten _mta-sts.<domenet> med v=STSv1; id=20260801. Bruk en ny id hver gang du endrer policyen.
Publiser policy-filen på mta-sts.<domenet>/.well-known/mta-sts.txt. Start med mode: testing og kort max_age, for eksempel 86400 (ett døgn).
Sett opp TLS-rapportering med en TXT-post på _smtp._tls.<domenet>.
Følg med på rapportene i et par uker. Se spesielt etter feil knyttet til sertifikat eller MX-poster.
Skru til skarp modus ved å endre til mode: enforce, og øk max_age gradvis til 604800 (én uke) eller høyere.

Vanlige fallgruver

Feil adresse på policy-filen. Subdomenet mta-sts.<domenet> må peke på en server med gyldig sertifikat, ellers kan policyen ikke hentes.
MX og policy må stemme overens. Hvis en server i policyen ikke finnes i MX-postene, avvises meldinger i skarp modus.
For høy max_age for tidlig. En feil i policyen blir husket lenge av andre. Test derfor med lav verdi først.
Glemt TLS-rapportering. Uten rapporter oppdager du ikke problemer før e-post forsvinner.

Ofte stilte spørsmål

Kan e-post forsvinne hvis MTA-STS er feilkonfigurert?

Ja, i skarp modus (enforce) avvises meldinger fra servere som ikke kan bruke TLS. Derfor bør du starte i testmodus og studere TLS-rapportene før du skrur på håndheving. Kort max_age i starten gir deg også en sikkerhetsventil hvis noe går galt.

Må jeg ha DNSSEC for å bruke standarden?

Nei. MTA-STS er uavhengig av DNSSEC og fungerer på alle domener med vanlige DNS-poster. DNSSEC er derimot nødvendig for DANE, som er en alternativ og komplementær mekanisme. Siden Feno aktiverer DNSSEC automatisk, får du begge mulighetene uten ekstra oppsett.

Hva er forskjellen på MTA-STS og DANE?

MTA-STS publiseres via en nettadresse og en TXT-post, mens DANE ligger inne i DNSSEC-signerte DNS-poster. MTA-STS fungerer uten DNSSEC, men kan angripes hvis selve DNS-trafikken manipuleres. DANE er vanskeligere å angripe, men avhenger av at begge parter støtter DNSSEC. Fagmiljøer anbefaler derfor å bruke dem sammen.

Kom i gang med MTA-STS i dag

MTA-STS er en av de billigste og viktigste sikkerhetsforbedringene du kan gjøre for e-posten din. Med eget DNS-kontrollpanel og automatisk DNSSEC kan du publisere både MTA-STS og TLS-rapportering i løpet av et kvarter. Administrer DNS-innstillingene dine direkte i kontrollpanelet til Feno, helt uten mellomledd.

Registrer domenet ditt hos Feno og sett opp MTA-STS allerede i dag.