原文指出，简单邮件传输协议（SMTP）在邮件服务器之间传输邮件时传统上未加密，容易遭受窃听。基于 DNS 的实体命名认证（DANE）为 SMTP 提供了一种更安全的邮件传输方法，并越来越受欢迎。具有 DANE 记录的域名包括 comcast.net、debian.org、gmx.de 和 protonmail.ch。本文将讨论 SMTP 的风险以及 DANE 如何帮助克服这些风险，并提供我们 Internet.nl 团队为那些负责邮件服务器并实施 DANE 的人士提供的建议列表。
SMTP 的风险与 STARTTLS 的局限性
默认情况下，邮件传输以明文形式进行。随着 STARTTLS 扩展的引入，SMTP 协议增加了机会性安全。这意味着只有在接收邮件服务器请求发送邮件服务器使用加密的传输层安全性（TLS）连接时，邮件服务器之间的传输才是加密的。尽管 STARTTLS 可以加密邮件传输，但这种加密并非强制性的，发送邮件服务器无法对接收邮件服务器进行身份验证。这导致以下风险。
STRIPTLS/降级攻击
首先，发送邮件服务器无法事先确定接收服务器是否支持加密传输。只有在通信开始后，发送服务器才能根据接收服务器支持的功能（在本例中为 STARTTLS）来允许加密传输。因此，邮件服务器之间的初始连接始终未加密，容易遭受中间人（MITM）攻击。如果邮件服务器在 SMTP 握手期间没有提供“STARTTLS 功能”（因为被攻击者剥离），则邮件传输将通过未加密的连接进行。
DANE 的实施与支持
DANE 记录应发布在 MX 域名上。因此，如果您使用另一个域的邮件服务器，请确保要求该域的管理员通过设置一个或多个 TLSA 记录来支持 DANE。
结尾：对于运维和网络工程师来说，了解 DANE 如何增强 SMTP 的安全性对于保护邮件传输至关重要。通过实施 DANE，可以减少中间人攻击的风险，并确保邮件传输的加密和身份验证。这些措施有助于提高整个邮件系统的安全性，保护用户数据免受未经授权的访问。
原文: APNIC Blog（2019-11-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog