Protocolli S nella posta elettronica

Alcuni utenti credono che l’utilizzo di HTTPS possa da solo risolvere i problemi di tutela dei dati nelle comunicazioni Internet.

Tralasciando i protocolli proprietari di app modaiole che non sono l’oggetto di questo articolo, molti dati viaggiano tramite la posta elettronica.

Un messaggio di posta elettronica viene inviato dal client al primo server (server di posta in uscita) con il protocollo SMTP, i server parlano tra di loro in SMTP e alla fine un client scarica un messaggio con IMAP o POP3 (server di posta in arrivo).

Le trasmissioni SMTP tra server di posta elettronica sono sempre più su canali cifrati, il punto debole restano la parte iniziale e finale del trasporto della mail dal server al client.

A differenza di HTTP/HTTPS che utilizzano per default una porta specifica (80) per la connessione in chiaro e un’altra (443) per le connessioni cifrate, per la mail la situazione è un pochino più complessa, ;a qual cosa non facilita la vita di una persona inesperta che volesse mettere al sicuro le proprie comunicazioni.

Per default, SMTP usa la porta 25, POP3 la porta 110 e IMAP la porta 143. Su queste porte le trasmissioni possono avvenire sia in chiaro sia in modo cifrato (vedremo poi come).

L’analogo di HTTPS per i server della posta in arrivo sono POP3S (porta 995) e IMAPS (porta 993). Su queste porte con questi protocolli la comunicazione è sempre cifrata.

Nel secolo scorso era stato previsto un equivalente di HTTPS anche per la posta in uscita con il protocollo SMTPS sulla porta 465, ma a fine 1998 è stato deciso di deprecare la scelta e tornare sulla porta 25. Questo perché SMTP è un protocollo utilizzato principalmente tra server e non tra un umano e un server: l’ambiguità della porta avrebbe potuto causare problemi e ritardi. Ci sarebbe un metodo per specificare nel DNS la porta da utilizzare, ma viene usato pochissimo ed è uno standard per pochi protocolli.

S’avanzi STARTTLS, un’estensione ai protocolli in testo chiaro che permette di passare al dialogo cifrato in un punto arbitrario del dialogo tra i server. In pratica, si inizia il protocollo in modo standard, ad un certo punto, se server e client concordano, si passa in modalità cifrata. Questo permette di implementare SSL/TLS su qualsiasi protocollo che supporti delle estensioni opzionali.

Ecco, quindi, che SMTP, IMAP e POP3 possono parlare sia in maniera palese sia in maniera cifrata sulle port 25, 143 e 110 rispettivamente semplicemente introducendo l’estensione opzionale STARTTLS.

Per completezza d’informazione, il protocollo proprietario di Microsoft utilizzato tra Outlook ed un Exchange Server remoto è sempre cifrato perché viene incapsulato in HTTPS.