Очередная вспышка эпидемической паранойи

[vitus_wagner]

https://www.eff.org/deeplinks/2018/06/announcing-starttls-everywhere-securing-hop-hop-email-delivery

EFF анонсировала инициативу starttls everywhere. В смысле "давайте зашифруем весь SMTP-траффик".

Причем сайт, через который они предлагают проверяться у них кривой. Я ожидал от них отчета в стиле который имели в свое время ssllabs
Длинный список с галочками

• команда starttls поддерживается OK
  
• список шифрсьютов современный OK
  
• сертификат соответствует доменному имени тут у вас фигня какая-то
  
• сертификат выписан известным нам authority фигня какая-то
  

А получаю "security of your mailbox is not so great" и все.
Блин, теперь, похоже все-таки придется на постфикс поставить сертификат от lets encrypt. А то начнут тут всякие проверять сертификаты у SMTP, у меня почта ходить перестанет. Хотя с моей точки зрения мой CA безопаснее lets'encrypt и starttls я там держу в основном ради своего почтового пароля. Интересно, а можно в postfix прикрутить разные сертификаты на 25 и 465 порты? Ну или хотя бы на 25 и 587?

P.S. А ssllabs говорит, что у меня категорически не хватает CAA записей в DNS.

Comments

[dzz]

> starttls everywhere

Торговцы сертификатами радостно потирают руки :)

[beldmit]

Нет. Let's Encrypt им руки существенно подрезал.

[vitus_wagner]

Вот, кстати, что ты мне посоветуешь:
1. Получить в letsencrypt yet another сертификат на имя mx.wagner.pp.ru
2. Переписать в DNS MX-запись с mx.wagner.pp.ru на mail.wagner.pp.ru (на который сертификат уже получается)?

Дополнительная информация - всем клиентам я настраиваю smtp сервер mail.wagner.pp.ru, и mx.wagner.pp.ru и mail.wagner.pp.ru имеют один и тот же IP.

[beldmit]

Второй вариант во имя неумножения сущностей, ИМХО.

[vitus_wagner]

Ну да. В общем-то разные имена для mx и почтового сервера для клиентов там остались с древних времен, когда второе было на роутере в квартире.

[beldmit]

Там он даёт три плашки, которые можно раскрыть.

Но глюки в проверяющем скрипте коллеги уже нашли.

[vitus_wagner]

Вот хрен я чего интересного при раскрытии этих плашек увидел.

Сейчас, кстати, лучше стало.

[beldmit]

Ну да, ты и так должен быть в курсе, что у тебя сертификат там самодельный. А вот hostname мог бы и правильный прописать :)

[vitus_wagner]

Засада в том, что с точки зрения клиента - правильный хостнейм который в сертификате.
У себя-то я могу любое количестов хостнеймов понапихать в Subject Alternative Name, а у летсэнкрипта по-моему на эту тему не забалуешь. Я, конечно могу ему написать заявку с таким SAN и со всех этих имен ему правильный challenge отдать по http (благо хост все рвно один), но не уверен что оно это сожрет.

[beldmit]

С точки зрения текущих требований правильный, кажется, как раз в SAN.

[vitus_wagner]

Тут я немножко про другое - про то позволит ли letsencrypt два имени в SAN, если одно из них не является поддоменом второго. В смысле www.wagner.pp.ru и wagner.pp.ru - это пожалуйста. А вот сожрет заявку с mail и mx в одном домене - не уверен.

[phd_ru]

home.phdru.name и iskra-aviel.phdru.name в одном сертификате удаётся использовать. При этом phdru.name — другой сертификат на другом сайте.

[vitus_wagner]

Буду иметь в виду.

[qkowlew]

Какое-то, уже довольно большое время назад ещё не позволял.
Я из-за этого одному клиенту делал три виртуалхоста на сервере, каждый со своим сертификатом.

[llivejo]

> все-таки придется на постфикс поставить сертификат от lets encrypt.

что мешает отдавать сразу два сертификата - один от let's encrypt, второй подписанный своим CA? в SSLlabs это называется certification paths, пусть ваш CA для них невалиден, проигнорируют лишнее

у меня
smtpd_tls_cert_file = /etc/ssl/certs/domain.combined.crt
в нем (1) сертификат letsencrypt (2) Let's Encrypt Authority X3 и (3) сертификат подписанный моим CA