DANE และ TSLA ใน Cloudflare

เซิร์ฟเวอร์อีเมลมักจะไม่ใส่ใจกับใบรับรอง TLS และมักจะใช้ใบรับรอง TLS ใดก็ตามที่เซิร์ฟเวอร์ smtp ของผู้รับเสนอให้โดยไม่ทำการตรวจสอบใดๆ (เพราะแม้ว่าแนวทางปฏิบัติด้านความปลอดภัยที่ไม่ดีจะให้ความปลอดภัยในการขนส่งมากกว่าการส่งอีเมลเป็นข้อความธรรมดา) ดังนั้นความคาดหวังของฉันสำหรับการสนับสนุน TLSA และการใช้งานปัจจุบันในเมลเซิร์ฟเวอร์คือ: ยังไม่เพียงพอที่จะเกี่ยวข้อง (ยัง?)

เมลเซิร์ฟเวอร์ไม่สามารถเข้ารหัส .zip และไฟล์แนบได้เช่นกัน ดังนั้นในเมลเซิร์ฟเวอร์รุ่นเก่าที่ใช้เพื่อระงับ zip ด้วยไฟล์ .exe (รวมถึง gmail ) และเราเคยเปลี่ยนนามสกุลด้วย .txt และเราจะสามารถส่งไฟล์ .exe ได้ ด้วย แต่ทุกวันนี้ google บล็อกไบนารีดังกล่าวรวมถึงไฟล์ js ด้วย คำถามเป็นอย่างไร @บ๊อบ

การสนทนาในชุมชน Cloudflare ที่เชื่อมโยงมีอายุ 5 ปีและไม่เกี่ยวข้องอีกต่อไป Cloudflare ได้เพิ่มระเบียน TLSA แล้ว

@Bob เมลเซิร์ฟเวอร์ไม่ได้ "ประมาท" เซิร์ฟเวอร์อีเมลได้รับการกำหนดค่าโดยผู้ดูแลระบบ ผู้ดูแลระบบมักจะมีเหตุผลบางประการในการกำหนดค่าวิธีที่พวกเขากำหนดค่า เป็นการกำหนดค่าที่ค่อนข้างเล็กน้อยเพื่อต้องการใบรับรอง CA บนเซิร์ฟเวอร์ผู้รับ เหตุผลที่ไม่ดำเนินการนี้คือมีเซิร์ฟเวอร์ผู้รับจำนวนมากเกินไปที่มีการกำหนดค่าไม่ดี ส่งผลให้ไม่สามารถส่งจดหมายได้เช่นเดียวกับการรับจดหมาย เนื่องจากเซิร์ฟเวอร์ที่ส่งจำนวนมากจะไม่รองรับการเข้ารหัส (การสังเกตของฉันส่วนใหญ่มักจะใช้กับรายการและจดหมายข่าว ซึ่งน่าจะช่วยประหยัดค่าใช้จ่ายด้านทรัพยากร)

การเข้ารหัส @CADENTIC TLS เป็นเพียงการขนส่ง ดังนั้นจะเข้ารหัสทุกอย่าง ปัญหาเกี่ยวกับประเภทไฟล์ที่คุณกล่าวถึงน่าจะเป็นการป้องกันเมลแวร์ ซึ่งป้องกันไม่ให้ผู้ใช้เปิดประเภทไฟล์ที่ติดไวรัสทั่วไป

ฉันเดาว่าการเข้ารหัสของไฟล์แนบนั้นเฉพาะเซิร์ฟเวอร์เมล การกรองไฟล์น่าจะเป็นการป้องกันการกรองสแปมเช่น นักฆ่าสแปม ดังนั้นผู้ใช้จึงเคยเปลี่ยน zip, exe เป็นข้อความและพวกเขาก็จะสามารถส่งออกไปได้ แต่ปัจจุบัน Gmail Outlook ก็สแกนเช่นกัน ไม่เพียง แต่ส่วนขยายของเอกสารแนบเท่านั้น @paul pot พวกเขาทำได้อย่างไร?

จากความคิดเห็นของคุณต่อคำตอบของฉันด้านล่าง คุณต้องให้รายละเอียดเพิ่มเติมสำหรับคำถามที่คุณต้องตอบ เนื่องจากขณะนี้สิ่งที่คุณพยายามทำให้สำเร็จและการกำหนดค่าปัจจุบันของคุณไม่ได้อธิบายอย่างเพียงพอในคำถามนี้

ฉันเปิดใช้งาน DNSSEC แล้ว แต่ไม่รู้ว่าจะเพิ่ม DANE ได้อย่างไรในขณะที่การประมวลผลส่วนหลังของเราอยู่หลังตัวจัดสรรภาระงานเครือข่ายใน oracle cloud (ในระดับฟรีตลอดเวลา) @พอล

คุณเพียงแค่ต้องสร้างระเบียน TLSA[เครื่องมือนี้](https://www.huque.com/bin/gen_tlsa) เป็นหนึ่งในเครื่องมือที่ตรงไปตรงมาที่สุด แม้ว่าจะไม่มีคำอธิบายมากนักว่าแต่ละตัวเลือกมีไว้เพื่ออะไร คุณสามารถสร้างหลายระเบียนด้วยใบรับรองที่แตกต่างกัน ดู [RFC 6698](https://datatracker.ietf.org/doc/html/rfc6698) และการอัปเดตสำหรับข้อมูลเพิ่มเติม

Cloudflare ให้เกียรติบันทึก TLSA หากคุณเก็บ 'DNS เท่านั้น' ทั้งไม่จัดการคีย์ในขณะที่ Cloudflare (ภายใน) CA เปลี่ยนแปลงหรือปรับปรุงด้วย ดังนั้นจึงเป็นไปได้มากว่า Cloudflare จะไม่มีประโยชน์ Cloudflare มีประโยชน์สำหรับ `https` `hsts`

DNSSEC ฉันคิดว่าไม่จำเป็นสำหรับ TLSA เพราะภายในบริการจัดการ DNS ภายใน `OCI` คุณจะมีตัวเลือกสำหรับการตั้งค่า DANE และ TLSA

อ่านข้อมูลเบื้องต้นเกี่ยวกับ [RFC 7671](https://datatracker.ietf.org/doc/html/rfc7671#section-1) สิ่งทั้งหมดนี้สร้างขึ้นบน DNSSEC ดังนั้นฉันจึงไม่รู้ว่าคุณกำลังพูดถึงอะไร

คำถามนี้เป็นภาษาอื่นๆ: