MTA-STS Misconfiguration

MTA-STS 配置错误

MTA-STS 是一种安全协议，使邮件服务器能够声明其接收传输层安全 (TLS) 安全 SMTP 连接的能力。MTA-STS 中的配置错误可能会危及电子邮件安全、导致交付失败，并使组织面临降级攻击的风险。以下领域是 MTA-STS 配置中的关键关注点：

MTA-STS 策略必须通过 HTTPS 提供，并位于 .well-known/mta-sts.txt。常见的配置错误包括： * 错误的 MIME 类型（必须是 text/plain） * 策略文件中存在无效语法

# 正确格式
version: STSv1
mode: enforce
max_age: 604800
mx: mail.example.com
mx: backup-mail.example.com

_mta-sts TXT 记录必须具有正确的格式。配置错误包括： * 无效的记录格式 * 缺少或错误的 version 字段

# 正确格式
_mta-sts.example.com. IN TXT "v=STSv1; id=20230101T123456"

不正确的模式选择要么会使组织面临风险，要么会导致不必要的电子邮件交付失败： * testing：不执行强制要求，仅报告 * enforce：严格执行策略 * none：策略被禁用

在未进行测试的情况下直接跳转到 enforce 模式可能会导致电子邮件交付中断。

不适当的 max_age 值会影响安全性和运行效率： * 太低（例如 300 秒）：过多的 DNS 查找和策略获取 * 太高（例如 31536000 秒）：在事件期间更新策略困难

# 推荐范围：1-2 周 (604800-1209600 秒)
max_age: 604800

策略文件中的 MX 模式不正确可能导致合法电子邮件被拒绝：

# 过于宽松
mx: *.example.com

# 过于严格
mx: mail1.example.com

# 更好的方法 - 显式列出
mx: mail1.example.com
mx: mail2.example.com
mx: backup.example.com

MTA-STS 策略必须通过有效的 HTTPS 连接提供。常见问题包括： * SSL 证书过期 * 证书链无效 * 缺少或错误的 SSL 配置 * 从 HTTP 到 HTTPS 的重定向不起作用

这些配置错误可能导致电子邮件交付失败、安全态势降低以及对中间人攻击的脆弱性增加。实施 MTA-STS 的组织应在进入 enforce 模式之前，在 testing 模式下仔细测试配置，并通过 MTA-STS 报告定期监控策略的有效性。

为了降低与 MTA-STS 配置错误相关的风险，请考虑以下建议：

这些建议有助于确保实施稳健安全的 MTA-STS，同时将在电子邮件交付中断的风险降至最低。