MTA-STS va TLS-RPT: pochta shifrlanishini majburlash

Pochta serverlari bir-biriga xat uzatganda odatda STARTTLS orqali shifrlangan ulanish o'rnatishga harakat qiladi. Lekin bu shifrlash ixtiyoriy: agar ulanish o'rtasida turgan kimdir STARTTLS taklifini olib tashlasa yoki soxta sertifikat ko'rsatsa, yuboruvchi server ko'pincha xatni shifrsiz yuboraveradi. Natijada shartnomalar, hisob-fakturalar va shaxsiy ma'lumotlar ochiq matnda uzatilishi mumkin. MTA-STS standarti bu bo'shliqni yopadi: u yuboruvchi serverlarga domeningizga xatni faqat haqiqiy sertifikatli shifrlangan ulanish orqali yetkazish kerakligini aytadi. TLS-RPT esa bu jarayonda yuz bergan muammolar haqida sizga hisobot yuboradi.

MTA-STS qanday ishlaydi

MTA-STS ikki qismdan iborat. Birinchisi DNS'dagi kichik TXT yozuv bo'lib, u domenda siyosat borligini va uning joriy versiyasini bildiradi. Ikkinchisi HTTPS orqali joylashtirilgan siyosat fayli bo'lib, unda qaysi MX serverlar qabul qilinishi va siyosat qanchalik qat'iy ekanligi yoziladi. Yuboruvchi server avval DNS yozuvini ko'radi, keyin siyosat faylini yuklab oladi va uni ma'lum muddat keshda saqlaydi. Shundan keyin u domeningizga xat yuborishda MX serverning sertifikati haqiqiy va nomi mos ekanini tekshiradi.

Siyosat faylining aynan HTTPS orqali olinishi muhim. DNS javobini soxtalashtirish nisbatan oson, lekin haqiqiy sertifikat bilan himoyalangan veb-sahifani soxtalashtirish ancha qiyin. Shu sababli MTA-STS DNSSEC talab qilmaydi va ko'pchilik domenlar uchun amalda joriy etish mumkin bo'lgan himoya hisoblanadi.

Boshlashdan oldin MX serverlarni tekshirish

MTA-STS faqat MX serverlaringiz to'g'ri sertifikatga ega bo'lgandagina ishlaydi. Sertifikat ishonchli markaz tomonidan berilgan, muddati o'tmagan va MX yozuvidagi nomga mos bo'lishi kerak. O'z-o'zidan imzolangan sertifikat yoki boshqa nomga berilgan sertifikat bilan enforce rejimini yoqsangiz, xatlar yetkazilmay qoladi. Tekshirish uchun avval MX yozuvlarini oling, keyin har bir server bilan STARTTLS ulanishini sinab ko'ring:

dig +short MX example.uz
openssl s_client -starttls smtp -connect mail.example.uz:25 -servername mail.example.uz </dev/null 2>/dev/null | openssl x509 -noout -subject -issuer -dates

Natijada sertifikat kimga berilgani, uni kim chiqargani va amal qilish muddati ko'rinadi. Agar pochtangiz hosting provayderi serverlarida joylashgan bo'lsa, MX nomi va sertifikat holatini provayderdan aniqlang, chunki siyosat faylida aynan o'sha nom ko'rsatiladi. Ba'zi tarmoqlarda chiquvchi 25-port yopiq bo'ladi, bunday holda tekshiruvni server yoki boshqa tarmoqdan bajaring.

Siyosat faylini joylashtirish

Siyosat fayli mta-sts subdomenida, aniq belgilangan yo'lda turishi shart: https://mta-sts.example.uz/.well-known/mta-sts.txt. Buning uchun subdomen uchun DNS yozuvi va haqiqiy SSL sertifikati kerak. Fayl mazmuni oddiy matn bo'lib, har bir qatorda bitta parametr yoziladi:

version: STSv1
mode: testing
mx: mail.example.uz
mx: mail2.example.uz
max_age: 604800

mode uch qiymatga ega: testing rejimida yuboruvchilar muammoni faqat hisobotda bildiradi va xatni baribir yetkazadi, enforce rejimida shifrlash talablari bajarilmasa xat yuborilmaydi, none esa siyosatni bekor qilish uchun ishlatiladi. max_age soniyalarda yoziladi va siyosat qancha vaqt keshda saqlanishini belgilaydi, yuqoridagi qiymat bir haftaga teng. Agar MX nomlari umumiy domen ostida bo'lsa, mx: *.example.uz kabi yulduzcha shablonidan ham foydalanish mumkin.

Agar subdomen Nginx serverida xizmat qilsa, faylni berish uchun quyidagi blok yetarli:

server {
    listen 443 ssl;
    server_name mta-sts.example.uz;
    ssl_certificate     /etc/letsencrypt/live/mta-sts.example.uz/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/mta-sts.example.uz/privkey.pem;

    location = /.well-known/mta-sts.txt {
        default_type text/plain;
        alias /var/www/mta-sts/mta-sts.txt;
    }
}

Oddiy hostingda esa mta-sts subdomenini alohida sayt sifatida yaratib, uning papkasida .well-known katalogini ochish va faylni u yerga joylashtirish kifoya.

DNS yozuvlari: MTA-STS va TLS-RPT

Fayl tayyor bo'lgach, ikkita TXT yozuv qo'shiladi. Birinchisi MTA-STS siyosati borligini e'lon qiladi va unda id qiymati turadi. Bu qiymat siyosat versiyasining belgisi: faylni har safar o'zgartirganingizda id ni ham yangilashingiz kerak, aks holda yuboruvchilar eski keshlangan siyosatdan foydalanishda davom etadi. Odatda id sifatida sana va vaqt yoziladi. Ikkinchi yozuv TLS-RPT uchun bo'lib, hisobotlar qaysi manzilga yuborilishini ko'rsatadi.

_mta-sts.example.uz.    IN  TXT  "v=STSv1; id=20261104T090000"
_smtp._tls.example.uz.  IN  TXT  "v=TLSRPTv1; rua=mailto:tls-reports@example.uz"

Hammasini quyidagi buyruqlar bilan tekshiring. Siyosat fayli to'g'ri ochilishi va DNS yozuvlari ko'rinishi kerak:

curl -s https://mta-sts.example.uz/.well-known/mta-sts.txt
dig +short TXT _mta-sts.example.uz
dig +short TXT _smtp._tls.example.uz

TLS-RPT hisobotlarini o'qish

TLS-RPT'ni qo'llab-quvvatlovchi provayderlar odatda kuniga bir marta JSON formatidagi hisobot yuboradi. Unda sizning domeningizga nechta muvaffaqiyatli shifrlangan seans o'rnatilgani va nechtasi muvaffaqiyatsiz bo'lgani, muvaffaqiyatsizlik sababi bilan birga ko'rsatiladi. Sabablar orasida sertifikat muddati o'tgani, nom mos kelmagani yoki STARTTLS umuman taklif qilinmagani bo'lishi mumkin. testing rejimida aynan shu hisobotlar sizga enforce ga o'tish xavfsizmi yoki yo'qligini ko'rsatadi. Bir-ikki hafta davomida xatoliklar bo'lmasa, siyosat faylida rejimni o'zgartirib, id ni yangilash mumkin.

Misol: Toshkentdagi auditorlik firmasi

Toshkentdagi auditorlik firmasi mijozlaridan moliyaviy hisobotlar va shartnomalarni elektron pochta orqali qabul qiladi. Firma rahbariyati bu ma'lumotlar uzatish paytida shifrlanmay qolishi mumkinligidan xavotirda. Administrator avval MX serverda haqiqiy sertifikat borligini tekshiradi, keyin mta-sts subdomenini yaratadi, siyosat faylini testing rejimida joylashtiradi va ikkala TXT yozuvni qo'shadi. Ikki hafta davomida kelgan TLS-RPT hisobotlarida muvaffaqiyatsiz seanslar yo'q. Shundan keyin rejim enforce ga o'zgartiriladi, id yangilanadi va endi siyosatni qo'llab-quvvatlovchi provayderlar firmaga xatni faqat himoyalangan ulanish orqali yetkazadi.

Ehtiyot bo'lish kerak bo'lgan holatlar

Eng ko'p uchraydigan xato bu MX serverni almashtirganda siyosat faylini yangilashni unutishdir. Agar yangi MX nomi faylda bo'lmasa va rejim enforce bo'lsa, yuboruvchilar xatni yetkaza olmaydi. Shuning uchun pochtani boshqa serverga ko'chirishdan oldin yangi nomni faylga qo'shing, id ni yangilang va kesh muddati o'tishini kuting. Ikkinchi xato mta-sts subdomenidagi sertifikat muddati o'tib ketishi: bunda yangi siyosat yuklab olinmaydi. Avtomatik yangilanadigan sertifikat bu muammoni oldini oladi. sayt.uz hostingida subdomenlar uchun bepul Let's Encrypt sertifikati avtomatik yangilanadi, shuning uchun mta-sts subdomeni sertifikati haqida alohida qayg'urish shart emas.