شرح SSL وTLS وSTARTTLS
ماذا تعني خيارات التشفير في برنامج بريدك فعلًا، وأيّها تختار عند إعداد صندوق بريد WebGee.
يطلب منك كل برنامج بريد اختيار إعداد تشفير، ويعرض عادةً SSL/TLS وSTARTTLS
وNone. وهذا يشرح ما تعنيه وأيّها تختار.
الجواب المختصر: اختر SSL/TLS على المنفذ 993 للوارد والمنفذ 465 للصادر. فكلا الخيارين يشفّر بالقوة نفسها؛ لكن SSL/TLS يفشل بصورة أأمن.
المصطلحات
SSL — طبقة المقابس الآمنة. البروتوكول الأصلي. وكل إصداراته تُعدّ الآن غير آمنة؛ فقد سقط SSL 3.0 أمام هجوم POODLE في 2014 وعُطّل افتراضيًا منذ ذلك الحين. والاسم باقٍ في قوائم برامج البريد بحكم العادة، حيث تعني «SSL» فيها TLS دائمًا تقريبًا.
TLS — أمان طبقة النقل. خليفة SSL وما يعمل فعلًا اليوم. وقد تقاعد TLS 1.0 و1.1 أيضًا؛ وTLS 1.2 و1.3 هما الحاليان، وخوادم WebGee تقبلهما.
STARTTLS — ليس بروتوكولًا بل أمرًا. فهو يفتح اتصالًا غير مشفَّر على المنفذ العادي، ثم يطلب من الخادم ترقيته إلى مشفَّر. ويعرفه SMTP وIMAP وPOP3.
الفرق العملي
الفارق ليس في قوة التشفير — فكلاهما ينتهي إلى التفاوض على TLS نفسه. بل في متى يبدأ التشفير.
| SSL/TLS (ضمني) | STARTTLS (صريح) | |
|---|---|---|
| المنفذ | منفذ مشفَّر مخصّص | المنفذ القياسي |
| يبدأ التشفير | فورًا، قبل إرسال أي شيء | بعد تحية غير مشفَّرة |
| إن فشل التشفير | يفشل الاتصال | قد يستمر بصمت دون تشفير |
وذلك الصف الأخير هو سبب تفضيل SSL/TLS. فمع STARTTLS، قد يواصل برنامج يسيء التعامل مع ترقية فاشلة بالنص المكشوف، فيرسل كلمة مرورك دون تشفير. أما مع SSL/TLS فلا توجد حالة غير مشفَّرة يُرتدّ إليها.
أي المنافذ
| الغرض | التشفير | المنفذ |
|---|---|---|
| IMAP | SSL/TLS | 993 |
| IMAP | STARTTLS | 143 |
| POP3 | SSL/TLS | 995 |
| POP3 | STARTTLS | 110 |
| SMTP | SSL/TLS | 465 |
| SMTP | STARTTLS | 587 |
استخدم المكتوبة بخط عريض ما لم يمنعك شيء بعينه. والإعدادات الكاملة في إعدادات خادم البريد.
لا تختر None أبدًا. فكلمة مرور صندوقك تُرسَل بنص مكشوف مع كل فحص، ويقرأها كل من على الشبكة نفسها.
لماذا المصادقة «Plain» ليست غير آمنة هنا
كثيرًا ما تطلب برامج البريد طريقة مصادقة أيضًا، والخيار الآمن يُسمّى Plain أو Normal password. وذلك يبدو مقلقًا لكنه ليس كذلك: فالتشفير يُنشأ أولًا، فتسافر كلمة المرور داخل القناة المشفَّرة. وخوادم WebGee ترفض المصادقة عبر اتصال غير مشفَّر أصلًا.