STARTTLS 및 SSL/TLS를 통한 인증

Question

내가 이해하는 한 두 가지 모두 연결을 암호화합니다. 그러나 SSL/TLS는 메일 클라이언트가 채널을 처음부터 암호화하도록 강제 실행합니다. 이제는 내가 telnet mail.server 25이라고하고 ehlo 다음에 서버에서 메일 클라이언트가 사용할 수있는 인증 옵션으로 STARTTLS가 제공됩니다. STARTTLS를 선택하면 서버 (내 디지털 인증서 사용)에 대해 자신 (메일 클라이언트)을 인증 할 수 있습니까? 왜, 어떻게? 다음과 같이

내가 뭐하는 거지하지만 클라이언트 인증 부분이 들어오는 않는 경우 이해가 안 :

이

telnet some.mail.server 25 
ehlo some.mail.server 
... 
250-STARTTLS 
... 
STARTTLS 
mail from: guy 
rcpt to: otherGuy 
data 
someting 
. 
quit 

내가 서버에 클라이언트 인증서를 보낼 수 없습니다 하는가? 실제로 인증서와 개인 키를 지정하는 -cert 및 -key 옵션을 제공하는 openssl s_client -starttls smtp을 사용하여이 작업을 시도했습니다.

실제로 SSL/TLS의 단점은 STARTTLS와 비교할 때 연결이 즉시 암호화되므로 클라이언트가 동일한 포트에서 인증서를 보낼 수있는 방법이 없다는 것입니다. 서버 만 인증서를 보낼 수 있습니다. 옳은? 내 머리 속에 많은 혼란이 ... 나를 위해 이것을 분명히하십시오.

Answer 1

STARTTLS를 사용하는 직접 TLS 모드와 TLS 업그레이드 모두 클라이언트 인증서를 사용할 수 있습니다. 이 모드의 유일한 차이점은 STARTTLS를 사용하면 일반 연결로 시작하고 서버가 STARTTLS에 대한 지원을 발표하면 나중에 업그레이드한다는 것입니다. 중간에있는 사람이이 공지 사항을 벗겨 낼 수 (sslstrip과 유사) TLS 로의 업그레이드를 막을 수 있습니다. 실제로 실제로 사용됩니다 (https://www.eff.org/deeplinks/2014/11/starttls-downgrade-attacks 참조).

메일 전송을 담당하는 서버를 알리는 데 사용되는 MX 레코드는 호스트와 포트가없는 경우에만 알릴 수 있으며이 경우 기본 포트 25는 일반 SMTP 프로토콜과 함께 사용됩니다. 따라서 STARTTLS 명령을 사용하여 TLS 만 가져올 수 있습니다.