STARTTLS en DANE: verschil tussen versies

Versie van 6 feb 2018 19:47

Van {{{begin}}} t/m {{{eind}}} is er een [[Internetconsultatie Open Standaarden met einddatum {{{eind}}} |internetconsultatie]] van het Forum Standaardisatie over deze standaard.

Standaarden

Onderdeel van: Lijsten & Verwijzingen
Contact: NORA Beheer; nora@ictu.nl
Status: Actueel; Status is afgeleid van Status bij Forum Standaardisatie (Verplicht (pas toe leg uit)
Naam: STARTTLS en DANE
ID

STARTTLS en DANE

Type

Standaard

Publicatiedatum: 2016/09/19
Versie: RFC 3207 en RFC 7672
Wijzigingsdatum
Laag Vijflaagsmodel

Deze informatie is (deels) overgenomen van forumstandaardisatie.nl.
Schaduwkopie: STARTTLS en DANE

Alle eigenschappen

Beveiligde verbinding tussen mailservers
STARTTLS in combinatie met DANE gaan het afluisteren of manipuleren van mailverkeer tegen. STARTTLS maakt het mogelijk om transportverbindingen tussen e-mailservers op basis van certificaten met TLS te beveiligen. Met de complementaire standaard DANE kunnen e-mailservers het gebruik van TLS bovendien afdwingen.

Het standaardprotocol voor het transport van e-mail, SMTP, werkt zowel over beveiligde als onbeveiligde verbindingen. Met de opkomst van cybercriminaliteit wordt het steeds belangrijker dat e-mailservers gebruikmaken van met certificaten beveiligde verbindingen voor het transport van mailberichten.

STARTTLS zorgt ervoor dat de verzendende e-mailserver en de ontvangende e-mailserver het eens worden over het gebruik van een met TLS beveiligde, dan wel een onbeveiligde verbinding. Als één van de partijen geen beveiligde verbinding accepteert, valt SMTP normaalgesproken terug op een onbeveiligde verbinding. Dit werkt afdoende tegen passieve aanvallers. Actieve aanvallers kunnen echter deze STARTTLS-onderhandeling manipuleren zodat een e-mail over een onbeveiligde verbinding wordt verstuurd. Vervolgens kunnen ze de e-mail onderscheppen met alle gevolgen van dien.

DANE, dat voortbouwt op DNSSEC, zorgt er in combinatie met STARTTLS voor dat een verzendende e-mailserver de authenticiteit van een ontvangende e-mailserver kan controleren en weet dat deze laaste e-mailserver slechts beveiligde verbindingen accepteert. Een actieve aanvaller kan daardoor niet langer de STARTTLS-onderhandeling manipuleren om een onbeveiligde verbinding te forceren.

Volledige namen: "SMTP Service Extension for Secure SMTP over Transport Layer Security" (STARTTLS) en "SMTP Security via Opportunistic DNS-Based Authentication of Named" (DANE)

Met de mailtest op Internet.nl kan iedereen eenvoudig testen of een ontvangende mailserver STARTTLS en DANE ondersteunt.

E-mails worden door de e-mailservervan de verzendende partij verstuurd naar de e-mailserver van de ontvangende partij met de SMTP-standaard. Oorspronkelijk gebeurt dit zonder enige versleuteling of beveiliging, waardoor het onderscheppen, aanpassen of injecteren van e-mail verkeer relatief eenvoudig is. STARTTLS maakt het mogelijk om SMTP-verkeer over een met TLS versleutelde verbinding te laten lopen. Hiervoor moeten zowel de verzendende e-mailserver als de ontvangende e-mailserver STARTTLS ondersteunen.

Wanneer STARTTLS door één van de servers niet wordt ondersteund of een versleutelde verbinding om een andere reden niet tot stand kan worden gebracht, valt STARTTLS terug op een niet-versleutelde verbinding. Dit voorkomt dat STARTTLS een negatieve invloed heeft op de aflevering van e-mails. Maar het geeft actieve aanvallers de mogelijkheid om het gebruik van STARTTLS te blokkeren waardoor de verbinding niet versleuteld wordt en het berichtenverkeer kan worden onderschept.

De toepassing van STARTTLS in combinatie met DANE zorgt ervoor dat de verzendende e-mail client zekerheid heeft dat hij met de juiste ontvangende e-mail server verbonden is, en dat de verbinding met TLS beveiligd is. DANE voorkomt aanvallen waarbij een aanvaller zich uitgeeft voor de ontvangende e-mail server en STARTTLS blokkeert om zo toegang tot de onversleutelde berichten te krijgen of berichten te vervalsen.

Nut: Mailverkeer tussen mailservers verloopt via SMTP. STARTTLS in combinatie met DANE gaan, in aanvulling op SMTP, afluisteren of manipuleren van dit mailverkeer door internetcriminelen tegen.

Werking: STARTTLS maakt het mogelijk om SMTP-verkeer tussen mailservers over een met TLS versleutelde verbinding te laten lopen.

DANE, dat voortbouwt op DNSSEC, geeft zekerheid over de identiteit van de ontvangende mailserver. Dit voorkomt dat een aanvaller zich kan uitgeven als ontvangende-mailserver, waardoor hij het mailverkeer kan onderscheppen. Daarnaast dwingt DANE het gebruik van TLS af. Dit voorkomt dat een aanvaller de opzet van STARTTLS kan blokkeren, om zo toegang tot de onversleutelde berichten te krijgen.

Status op lijst van Forum Standaardisatie: Verplicht (pas toe leg uit)

Waar toepasbaar

Functioneel toepassingsgebied: STARTTLS en DANE moeten in combinatie worden toegepast op ontvangende en verzendende e-mailservers.
Organisatorisch werkingsgebied: Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-)publieke sector.

Meer informatie

https://tools.ietf.org/html/rfc3207, https://tools.ietf.org/html/rfc7672, https://www.ncsc.nl/documenten/factsheets/2019/juni/01/factsheet-beveilig-verbindingen-van-mailservers specificatiedocument STARTTLES

specificatiedocument DANE

Beheerorganisatie: IETF

Realiseert

Lijst Open Standaarden voor Pas Toe of Leg Uit

Toepassing in voorzieningen en bouwstenen

Voorziening	Toelichting	Oordeel	Relevantie	Volgens bron	Gepubliceerd op
BRK (Basisregistratie Kadaster) BGT (Basisregistratie Grootschalige Topografie) WOZ (Basisregistratie Waarde Onroerende Zaken) BAG (Basisregistratie Adressen en Gebouwen)	STARTTLS is geïmplementeerd (zie: https://internet.nl/domain/www.kadaster.nl/). Eerdere planningen voor implementatie van DANE per Q1 2018 en later Q1 2019 zijn niet gehaald. De verhuizing van het mail domein is vertraagd, waarbij opgemerkt moet worden dat de bestemming, in dit geval Microsoft, geen planning heeft voor de implementatie van DANE.	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
BRT (Basisregistratie Topografie)	STARTTLS is geïmplementeerd (zie: https://internet.nl/domain/www.kadaster.nl/). Eerdere planningen voor implementatie van DANE per Q1 2018 en later Q1 2019 zijn niet gehaald. De verhuizing van het mail domein is vertraagd, waarbij opgemerkt moet worden dat de bestemming, in dit geval Microsoft, geen planning heeft voor de implementatie van DANE.	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
BRV (Basisregistratie Voertuigen)	De BRV voldoet aan STARTTLS, DANE, DKIM en SPF	voldoet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
DigiD	De mailservers van DigiD passen STARTTLS en DANE toe (zie: https://internet.nl/mail/digid.nl/). Vanwege ondersteuning van oudere e-mailservers is een risicoafweging gemaakt om de TLS-versies 1.0 en 1.1 inclusief bepaalde ciphersuites te blijven aanbieden, zolang dit niet direct onveilig is voor de mailservers van DigiD.	voldoet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
Digilevering	Digilevering draait op het Logius Managed Services platform. Vanuit de clouddienst is het niet mogelijk mail direct naar buiten te sturen om te voorkomen dat de applicatiebeheerder of een van haar systemen als spam/malware verstuurder wordt aangemerkt. Alle mail-versturende systemen moeten gebruik maken van de centrale voorziening mail relay als zij mail willen versturen. Digimelding en Digilevering zijn op het Equinix platform geïmplementeerd, de applicaties kunnen alleen via de mail-relay server van het platform e-mail versturen. Deze mail –relay server is niet van buitenaf benaderbaar, daarom kan dit met internet.nl niet getoetst worden.	voldoet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
Digimelding	Digimelding draait op het Logius Managed Services platform. Vanuit de VPC is het niet mogelijk mail direct naar buiten te sturen om te voorkomen dat de applicatiebeheerder of een van haar systemen als spam/malware verstuurder wordt aangemerkt. Alle mail-versturende systemen moeten gebruik maken van de centrale voorziening mail relay als zij mail willen versturen. Digimelding en Digilevering zijn op het Equinix platform geïmplementeerd, de applicaties kunnen alleen via de mail-relay server van het platform e-mail versturen. Deze mail –relay server is niet van buitenaf benaderbaar, daarom kan dit met internet.nl niet getoetst worden.	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
EHerkenning Idensys Stelsel Elektronische Toegangsdiensten	STARTTLS is geïmplementeerd voor eherkenning.nl. DANE voor SMTP is voor de maildomeinen geïmplementeerd bij de centrale e-mailvoorziening, die Logius als dienst afneemt van het Shared Service Centrum van het Rijk (SSC-ICT).	voldoet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
HR (Basisregistratie Handelsregister)	Deels afgedekt, maar er zijn nog openstaande acties, waardoor niet al het smtp verkeer over de actuele versie van TLS gaat.	voldoet niet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
MijnOverheid	Bij het vervangen van mail certificaat is vergeten om TLSA record te updaten. Dit wordt zo snel mogelijk opgelost.	gepland	van toepassing	Monitor Open Standaarden 2022	18 november 2022
Rijksoverheid.nl e-mail	Verzendende mailservers die STARTTLS ondersteunen, kunnen met ontvangende mailserver(s) een beveiligde verbinding opzetten. Rijksoverheid.nl voldoet aan DANE (zie: https://internet.nl/mail/rijksoverheid.nl/). Deze wordt door SSC-ICT beheerd in samenwerking met AZ. Technisch gezien is SSC-ICT het aanspreekpunt.	voldoet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
Standard Business Reporting (SBR)	Aan STARTTLS en DANE wordt nog niet voldaan. Dit stond gepland voor Q1 2019 en nieuwe planning volgt in Q4 2019.	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
Website RDW.nl	RDW gebruikt momenteel de Symantec Mail Gateway (SMG). In GUI van de SMG wordt alleen nog maar TLS 1.2 of hoger geaccepteerd en is dit dusdanig ingesteld (1.0 en 1.1 worden dus actief geblokkeerd). Voor DANE zijn we afhankelijk van de roadmap van Microsoft. Zie ook DNSSEC.	voldoet niet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
DWR (Digitale Werkomgeving Rijksdienst)	STARTTLS en DANE zijn geïmplementeerd.	voldoet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
ODC-Noord	STARTTLS/DANE is voor de mailomgeving rijkscloud.nl onvoldoende veilig geïmplementeerd (niet conform de NCSC richtlijnen). De mailomgeving van DUO, waarop odc-noord.nl en sso-noord.nl worden gehost, is STARTTLS ingericht, maar DANE niet. https://internet.nl/mail/odc-noord.nl/247561/#; https://internet.nl/mail/rijkscloud.nl/247562/#control-panel-16; https://internet.nl/mail/sso-noord.nl/247564/#control-panel-9	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
Overheid.nl	Overheid.nl voldoet hieraan (zie: https://internet.nl/mail/overheid.nl/).	voldoet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
P-Direkt	STARTTLS en DANE zijn van toepassing. STARTTLS is wel geïmplementeerd op de Rijks Mail Relay, DANE niet.	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
PDOK	STARTTLS en DANE zijn geïmplementeerd (zie: https://internet.nl/mail/pdok.nl/).	voldoet	van toepassing	Monitor Open Standaarden 2022	18 november 2022
Rijkspas	Rijkspas neemt email dienstverlening af van SSC-ICT, en vanuit deze leverancier is aangegeven dat nog niet alle randvoorwaarden in plaats zijn voor deze standaard. Eén van deze randvoorwaarden is DNSSEC, waarvan de implementatie afhankelijk is van de verhuizing naar het nieuwe data center. Na deze implementatie zal SSC-ICT opnieuw de mogelijkheden van STARTTLS en DANE analyseren.	voldoet niet	van toepassing	Monitor Open Standaarden 2019	27 maart 2020
TenderNed	STARTTLS en DANE worden ondersteund.	voldoet	van toepassing	Monitor Open Standaarden 2022	18 november 2022

Toelichting: Bouwstenen en gebruikte standaarden

@@ Regel 1: / Regel 1: @@
+{{Internetconsultaties}}
 {{#Element:
 |Elementtype=Standaard
 |ID=STARTTLS en DANE
+|Lijst status=Onbekend
 |Versieaanduiding=RFC 3207 en RFC 7672
 |Beschrijving=STARTTLS in combinatie met DANE gaan het afluisteren of manipuleren van mailverkeer tegen. STARTTLS maakt het mogelijk om transportverbindingen tussen e-mailservers op basis van certificaten met TLS te beveiligen.  Met de complementaire standaard DANE kunnen e-mailservers het gebruik van TLS bovendien afdwingen.
@@ Regel 22: / Regel 23: @@
 De toepassing van STARTTLS in combinatie met DANE zorgt ervoor dat de verzendende e-mail client zekerheid heeft dat hij met de juiste ontvangende e-mail server verbonden is, en dat de verbinding met TLS beveiligd is.  DANE voorkomt aanvallen waarbij een aanvaller zich uitgeeft voor de ontvangende e-mail server en STARTTLS blokkeert om zo toegang tot de onversleutelde berichten te krijgen of berichten te vervalsen.
 |Werkingsgebied=Nederlandse overheden (Rijk, provincies, gemeenten en waterschappen) en instellingen uit de (semi-)publieke sector.
-|Toepassingsgebied=  Inkomende mailservers passen STARTTLS (SMTP over STARTTLS, oftewel ESMTPS) in combinatie met DANE toe, zodat verzendende mailservers daarmee een versleutelde verbinding over een onvertrouwd netwerk (zoals internet) kunnen opzetten. Dit voorkomt dat aanvallers het mailverkeer kunnen afluisteren (passieve aanvallers) en/of kunnen manipuleren (actieve aanvallers).  Dit functioneel toepassingsgebied geldt voor alle mailverbindingen buiten de (interne) infrastructuur die onder eigen beheer valt.
+|Toepassingsgebied=Inkomende mailservers passen STARTTLS (SMTP over STARTTLS, oftewel ESMTPS) in combinatie met DANE toe, zodat verzendende mailservers daarmee een versleutelde verbinding over een onvertrouwd netwerk (zoals internet) kunnen opzetten. Dit voorkomt dat aanvallers het mailverkeer kunnen afluisteren (passieve aanvallers) en/of kunnen manipuleren (actieve aanvallers).  Dit functioneel toepassingsgebied geldt voor alle mailverbindingen buiten de (interne) infrastructuur die onder eigen beheer valt.
 |Documentatie=[https://tools.ietf.org/html/rfc3207 specificatiedocument STARTTLES]
 [https://tools.ietf.org/html/rfc7672 specificatiedocument DANE]