Sending E-Mail Today MX Priority #1 SMTP Exchange - PowerPoint PPT Presentation

DANE ¡and ¡SMTP: ¡ TLS ¡Protec4on ¡for ¡SMTP ¡ Using ¡DANE ¡and ¡DNSSEC ¡ Russ ¡Mundy ¡& ¡Wes ¡Hardaker ¡ Parsons ¡ <Russ.Mundy@parsons.com> ¡ <mundy@4slabs.com> ¡ 7/17/13 ¡ 1 ¡

Sending ¡E-­‑Mail ¡Today ¡ MX ¡Priority ¡#1 ¡ SMTP ¡Exchange ¡ Sender’s ¡ MTA ¡ Email ¡ Author ¡ DNS ¡ Records ¡ Receiver’s ¡ 1. Sender transmits 2. The sender’s MTA 3. The sender’s MTA MTA ¡ outgoing email to uses the receiver’s sends email to the their mail server, DNS “MX” records receiver’s MTA i.e., Mail Transfer to find a destination address. Agent (MTA) MTA address. 7/17/13 ¡ 2 ¡

Problem ¡#1: ¡Fake ¡MX ¡Records ¡ MX ¡Priority ¡#1 ¡ SMTP ¡Exchange ¡ Up-­‑To-­‑No-­‑Good ¡ Server ¡ MX ¡Priority ¡#2 ¡ Sender’s ¡ Maybe ¡ MTA ¡ Delivers ¡ but ¡May ¡ ¡ Not ¡ Email ¡ Author ¡ ‘Plain’ ¡DNS ¡ Records ¡ Receiver’s ¡ Unfortunately, it is possible to create fake MX records, MTA’s ¡ allowing an attacker to pretend to be the right “real” destination. 7/17/13 ¡ 3 ¡

Solu4on ¡#1: ¡DNSSEC ¡ MX ¡Priority ¡#1 ¡ Up-­‑To-­‑No-­‑Good ¡ Server ¡ M X ¡ P r i o r i t y ¡ # 1 ¡ SMTP ¡Exchange ¡ Sender’s ¡ MTA ¡ Email ¡ Author ¡ DNSSEC ¡Protected ¡ Records ¡ Receiver’s ¡ DNSSEC ensures that only good DNS records are MTA’s ¡ believable. 7/17/13 ¡ 4 ¡

Problem ¡#2: ¡Unprotected ¡SMTP ¡ ¡ ! y s a E ¡ s I ¡ g n i p p o r d s e v a E MX ¡Priority ¡#1 ¡ SMTP ¡Exchange ¡ Sender’s ¡ MTA ¡ Email ¡ Author ¡ Receiver’s ¡ Most SMTP server to server exchanges are unencrypted. MTA ¡ 7/17/13 ¡ 5 ¡

Solu4on ¡#2: ¡TLS-­‑Protected ¡SMTP ¡ MX ¡Priority ¡#1 ¡ SMTP ¡Exchange ¡ Sender’s ¡ MTA ¡ Email ¡ Author ¡ Receiver’s ¡ SMTP can run over encrypted TLS, but: MTA ¡ • Few server to server exchanges have TLS turned on • Management of CA Trust Anchors impractical for operators • MTA servers don’t normally distribute trust anchor lists • DANE records are being defined to act as a DNS-based trust anchor 7/17/13 ¡ 6 ¡

Problem ¡#3: ¡SMTP ¡Man-­‑in-­‑the-­‑Middle ¡ I ¡don’t ¡speak ¡ TLS, ¡sorry! ¡ Sender’s ¡ MTA ¡ Up-­‑To-­‑No-­‑Good ¡ Server ¡ Email ¡ Author ¡ Receiver’s ¡ SMTP over TLS uses the “STARTTLS” command MTA ¡ • Attackers “in path” can pretend to be the receiver’s MTA • Man-in-the-middle allows for “I don’t support STARTTLS” • Current default policy must be to deliver unencrypted if TLS is unavailable 7/17/13 ¡ 7 ¡

Solu4on ¡#3: ¡SMTP ¡over ¡TLS ¡with ¡DANE ¡ MX ¡Priority ¡#1 ¡ SMTP ¡Exchange ¡ Sender’s ¡ ISP ¡ Email ¡ Author ¡ Receiver’s ¡ A DANE record can indicate you MUST use TLS! ISP ¡ 7/17/13 ¡ 8 ¡

SMTP ¡Over ¡TLS ¡with ¡DNSSEC ¡& ¡DANE ¡ • Protects ¡against ¡MX ¡record ¡forgeries ¡ • Protects ¡against ¡eavesdropping ¡ • Protects ¡against ¡STARTTLS ¡Man-­‑in-­‑the-­‑Middle ¡ • Provides ¡secured ¡X.509 ¡trust-­‑anchors ¡for ¡TLS ¡ 7/17/13 ¡ 9 ¡