数百万邮件服务器未启用TLS加密面临攻击风险

目前，互联网上有超过三百万台未启用TLS加密的POP3和IMAP邮件服务器，易受网络嗅探攻击。
IMAP和POP3是访问邮件服务器上电子邮件的两种方法。IMAP建议用于从手机、笔记本电脑等多种设备查收邮件，因为它会将邮件保存在服务器上，并在设备间同步。而POP3则是从服务器下载邮件，只能在下载邮件的设备上访问。
TLS安全通信协议有助于在用户通过客户端/服务器应用程序在互联网上交换和访问电子邮件时保障其信息安全。然而，若未启用TLS加密，邮件内容和凭证将以明文形式发送，从而面临窃听式的网络嗅探攻击。
ShadowServer安全威胁监测平台的扫描结果显示，约有330万台主机正在运行未启用TLS加密的POP3/IMAP服务，并在互联网上明文传输用户名和密码。ShadowServer目前正在通知邮件服务器运营商，其POP3/IMAP服务器未启用TLS，导致用户的未加密用户名和密码暴露于嗅探攻击风险中。

无TLS加密的IMAP和POP3邮件服务器（ShadowServer）
TLS协议的发展与升级
TLS版本演进：
o TLS 1.0于1999年推出，TLS 1.1于2006年推出。
o 经过广泛讨论和协议草案的制定，互联网工程任务组（IETF）于2018年3月批准了TLS协议的下一个主要版本TLS 1.3。
主流浏览器与操作系统的支持：
o 微软、谷歌、苹果和Mozilla等主流浏览器和操作系统已经或正在计划停用不安全的TLS 1.0和TLS 1.1协议。
o 例如，微软从2020年8月起，在最新的Windows 10 Insider预览版中默认启用了TLS 1.3。
美国国家安全局（NSA）的指导：
o NSA提供了有关识别和替换过时TLS协议版本及配置的指导，鼓励采用现代、安全的替代方案。
o 指出过时的配置可能会使对手利用各种技术访问敏感操作流量，如通过中间人攻击进行被动解密和流量篡改。

部署TLS证书的重要性

一、保护邮件通信安全
加密传输：TLS安全通信协议通过在通信双方之间建立安全的加密通道，确保数据在传输过程中不被窃听、篡改或伪造。这对于保护电子邮件这种包含敏感信息的通信方式至关重要。
防止网络嗅探攻击：未启用TLS加密的邮件服务器容易受到网络嗅探攻击，攻击者可以截获明文传输的邮件内容和凭证。而部署TLS证书后，邮件内容将被加密传输，从而有效防止此类攻击。

二、提升服务器安全性
身份验证：TLS协议支持使用数字证书对服务器进行身份验证，确保通信双方的合法性和安全性。这有助于防止钓鱼邮件和欺诈行为，保护用户的隐私和财产安全。
防止密码猜测攻击：启用TLS加密后，即使攻击者截获了通信数据，也无法轻易解密出明文密码，从而降低了密码猜测攻击的风险。

三、符合行业标准和法规要求
行业标准：随着网络安全意识的提高，越来越多的行业和组织开始要求使用TLS加密来保护电子邮件通信。部署TLS证书有助于企业符合这些行业标准，提升企业的信誉和竞争力。
法规要求：一些国家和地区已经出台了相关法律法规，要求企业采取必要措施保护用户数据的安全。部署TLS证书是满足这些法规要求的重要手段之一。

四、推动TLS协议的发展和应用
促进TLS协议升级：随着TLS协议的不断发展和完善，新的版本提供了更高的安全性和性能。部署TLS证书可以推动企业及时升级TLS协议版本，享受更安全、更高效的通信服务。
增强用户信任：对于用户而言，知道他们的邮件通信是通过加密的TLS协议传输的，将增强他们对企业的信任和忠诚度。这有助于企业建立良好的品牌形象和口碑。

综上所述对于，企业和个人用户而言，邮件中往往包含大量的部署TLS证书对于保护邮件通信安全、提升服务器安全性、符合行业标准和法规要求、推动TLS协议的发展和应用以及应对未来安全挑战都具有重要意义。因此，建议所有运行POP3和IMAP服务的邮件服务器运营商尽快启用TLS加密，并部署有效的TLS证书来保护用户的数据安全。
参考：ShadowServer、hackread、FreeBuf