谷歌、微軟與雅虎：我們希望修複漏洞以避免郵件窺探行為

各網絡巨頭正聯手修複starttls安全問題，希望解決其面臨的加密連接配接降級攻擊威脅。

amazon、facebook、谷歌、微軟以及雅虎等多家技術巨頭正努力推進starttls擴充方案——旨在将smtp上的純文字連接配接更新為全新加密版本。

不過根據谷歌公司最近釋出的研究報告，starttls采用的“機會型加密”機制有可能導緻該系統遭受“開放性攻擊”，這意味着即使存在異常狀況，電子郵件仍會以未加密方式發送——此種狀況亦被稱為“純文字”問題。

這一設計原本是為了鼓勵使用者采納starttls。然而研究結果發現，攻擊者能夠輕松利用網絡裝置迫使其降級至非加密通道。

舉例來說，突尼西亞的研究人員們發現，由當地發往gmail的全部郵件中有96%處于“純文字”狀态。

目前谷歌、雅虎、comcast、微軟、領英以及1&1 mail &media開發與技術公司正希望通過一項名為smtp嚴格傳輸安全的ietf建議解決此類問題。

其需要解決的另一個問題則與消息傳輸代理（簡稱mta）伺服器中的驗證機制有關。

其中一項提案要求在傳遞機制處于非安全狀态時，停止對消息進行傳遞。具體來講，其要求通過smtp sts政策記錄允許發送服務檢查收件人的執行政策，并在檢查通過後方執行郵件發送。

“smtp sts是一種要求郵件服務供應商申報自身接收tls保護型連接配接能力的機制，旨在借此聲明具體證書驗證方法并要求smtp伺服器對無法安全傳遞的情況進行上報并/或拒絕傳遞消息，”這份建議草案指出。

這份ietf草案已經由各網絡企業于上周五送出，稽核日期截止至今年9月19日。

本文轉自d1net（轉載）