smtps, pop3s, imaps

[Michi21609]

Hallo zusammen,

ich habe Fragen zu smtp, pop3 und imap über SSL:

1. Was sichere ich alles ab damit -> Ich hab ja dann nur ne sichere Verbindung bis zu meinem SMTP-Server, bzw. von meinem pop3-/imap-server. Aber dazwischen habe ich ja keine Verschlüsselung
-> Bringt das was gegen Spamer welche den Verkehr abhören und dann darauf zugeschnittenen Spam bringen? Wir hatten mal den Eindruck dass das passiert

2. Zumindest ist es doch aber so, dass ich mit SSL dann mein Passwort verschlüsselt habe, oder? Ohne SSL ist dann sogar das Klartext?

3. Was sind sonst noch so die Vorteile von SSL für IMAP, POP3 und SMTP? Gibt es auch Fälle in welchen man das lassen sollte?

Danke für jeden Input!
Michael

 

[Roger Wilco]

1. Was sichere ich alles ab damit

Ausschließlich die Verbinung (auf ISO/OSI-Layer 3 im Sinne der TCP/IP-Verbindung, deshalb auch "Transportverschlüsselung"). Die Mails liegen dann i. d. R. im Klartext auf dem Server bzw. in der Mailqueue.

Aber dazwischen habe ich ja keine Verschlüsselung

Was verstehst du unter "dazwischen".

Bringt das was gegen Spamer welche den Verkehr abhören und dann darauf zugeschnittenen Spam bringen?

Das wäre mir neu.

2. Zumindest ist es doch aber so, dass ich mit SSL dann mein Passwort verschlüsselt habe, oder? Ohne SSL ist dann sogar das Klartext?

Wenn die Verbindung über SSL läuft, wird der gesamte Inhalt verschlüsselt und kann "von außen" nicht mitgelesen werden (vorausgesetzt du bist nicht Opfer einer MITM-Attacke). Wenn die Verbindung nicht verschlüsselt ist (es gibt neben SSL ja noch andere Techniken - nicht so sehr darauf versteifen) und die Daten im Klartext übertragen werden, werden die Credentials trotzdem nicht notwendigerweise im Klartext übertragen. Das kommt auf den Authentifizierungsmechanismus an. Bei PLAIN und LOGIN werden die Credentials im Klartext übertragen, während bei Mechanismen wie CRAM-MD5 oder DIGEST-MD5 lediglich berechnete Werte übertragen werden, die beweisen, dass du das Passwort kennst.

3. Was sind sonst noch so die Vorteile von SSL für IMAP, POP3 und SMTP?

Verschlüsselung deiner Verbindung zum Mailserver reicht dir nicht?

Gibt es auch Fälle in welchen man das lassen sollte?

Nein.

 

[Michi21609]

Was verstehst du unter "dazwischen"

Naja:
1. Zwischen meinem smtp-Server (bis da SSL) und dem imap/pop3-Server des Empfängers (bzw. dessen Client, wenn er kein SSL/TLS, etc hat)
2. Zwischen dem Mailclient des Senders (Oder dessen smtp-Server wenn er SSL hat) und meinem Mailserver

Danke für die Antworten!
Michi

 

[Roger Wilco]

1. Zwischen meinem smtp-Server (bis da SSL) und dem imap/pop3-Server des Empfängers (bzw. dessen Client, wenn er kein SSL/TLS, etc hat)

Da hast du mindestens einen Schritt ausgelassen. Normalerweise ist der Ablauf Client (Sender) -> MTA (Sender) -> MTA (Empfänger) [-> MDA (Empfänger)] -> Mail-Store [IMAP/POP3] (Empfänger) -> Client (Empfänger) mit beliebig vielen Zwischenschritten.

Dabei kann jede Übertragung gesichert erfolgen, z. B. von deinem Client zum MTA, zwischen den MTAs oder vom Mail-Store des Empfängers zu dessen Client.

Üblicherweise werden MTAs so konfiguriert, dass eine opportunistische Verschlüsselung erfolgt, d. h. wenn beide MTAs TLS verstehen, wird durch in-band Signalisierung (z. B. bei SMTP durch das Kommando STARTTLS) auf eine verschlüsselte Verbindung gewechselt.

2. Zwischen dem Mailclient des Senders (Oder dessen smtp-Server wenn er SSL hat) und meinem Mailserver

Ja, aber das lässt sich nur durch End-to-End-Verschlüsselung (S/MIME, PGP) vermeiden, was ich schon aus Prinzip jedem empfehlen würde. Andererseits sind die gängigen Clients nicht so weit, dass jeder Benutzer (und nicht nur technisch versierte Anwender) solche Techniken problemlos nutzen könnte.