MTA-STS (Mail Transfer Agent Strict Transport Security), bir alan adına e-posta gönderen sunuculara “benimle konuşurken şifreli bağlantı kur, güvenli değilse gönderme” diyen bir politikadır. Yanında çalışan TLS-RPT (TLS Reporting) ise bu şifrelemeyle ilgili başarısızlıkları alan adı sahibine geri bildiren tamamlayıcı standarttır. İkisi birlikte, sunucudan sunucuya e-posta taşımasındaki eski bir güvenlik boşluğunu kapatır.

MTA-STS, e-posta sunucuları arasındaki şifrelemeyi “varsa iyi olur”dan “olmadan gönderme”ye çeviren; TLS-RPT ise bu kuralın nerede tökezlediğini gösteren geri bildirim kanalıdır.

Çözdüğü Sorun: Fırsatçı Şifrelemenin Zayıflığı

Sunucular arası e-posta taşımasında SSL/TLS protokolü uzun süredir STARTTLS ile kullanılır, ancak bu klasik yöntem “fırsatçı”dır: karşı taraf şifreleme desteklemiyorsa ya da araya giren biri STARTTLS reklamını gizlerse, gönderen sunucu iletiyi düz metin olarak yollamaya devam eder. Bu “downgrade” saldırısı, bağlantıyı sessizce şifresizleştirir. MTA-STS gönderen sunucuya bu durumda iletiyi göndermeyi reddetmesini söyleyerek fırsatçılığı zorunluluğa dönüştürür.

Politika Nasıl Yayınlanır?

Alan adı sahibi politikayı iki parça hâlinde yayınlar. Önce alan adının DNS bölgesine bir TXT kaydı koyarak politikanın var olduğunu ve sürümünü duyurur. Ardından politika dosyasının kendisi, alan adının belirli bir alt alanında HTTPS üzerinden sunulur; bu dosya hangi posta sunucularının geçerli olduğunu ve uygulama modunu (enforce, testing, none) belirtir. Gönderen sunucu bu dosyayı HTTPS ile güvenli biçimde çeker, böylece politikanın kendisi de manipülasyona karşı korunur.

TLS-RPT’nin Görünürlük Katkısı

MTA-STS’i sıkı moda almadan önce en büyük risk, meşru iletilerin sessizce düşürülmesidir. TLS-RPT tam da bu körlüğü giderir: gönderen sunucular, bir alan adına ileti taşırken yaşadıkları TLS başarısızlıklarını günlük özet raporlar hâlinde belirtilen adrese gönderir. Alan adı sahibi bu raporlardan hangi partnerlerin şifreleme kuramadığını, hangi sertifikaların uyumsuz olduğunu görür ve enforce moduna geçmeden önce sorunları giderir.

Bu ikili, e-posta kimlik doğrulama katmanıyla birlikte düşünülmelidir. Gönderen kimliğini denetleyen DMARC politikası iletinin kimden geldiğini korurken, MTA-STS iletinin yolda şifreli kalmasını sağlar; biri kimliği, diğeri taşımayı güvenceye alır. Bu katmanların bir arada tutarlı yapılandırıldığını doğrulamak için Privia Security’nin altyapı ve mimari gözden geçirme hizmeti e-posta taşıma güvenliğini bütün olarak inceler.