Понастоящем над три милиона POP3 и IMAP пощенски сървъри без TLS криптиране са изложени на риск в интернет и са уязвими за мрежови атаки.

IMAP и POP3 са два метода за достъп до електронна поща на пощенски сървъри. IMAP се препоръчва за проверка на имейли от множество устройства, като телефони и лаптопи, тъй като съхранява съобщенията ви на сървъра и ги синхронизира между устройствата. POP3, от друга страна, изтегля имейли от сървъра, като ги прави достъпни само от устройството, от което са изтеглени.

Протоколът за сигурна комуникация TLS помага да се защити информацията на потребителите при обмена и достъпа до техните имейли през интернет чрез приложения клиент/сървър. Въпреки това, когато TLS криптирането не е включено, съдържанието на съобщенията и идентификационните данни се изпращат в свободен текст, което ги излага на атаки за подслушване на мрежата.

Както показват сканиранията от платформата за наблюдение на заплахите за сигурността ShadowServer, около 3,3 милиона хостове използват POP3/IMAP услуги без включено TLS криптиране и излагат потребителските имена и пароли на риск в обикновен текст при предаване по интернет.

ShadowServer вече уведомява операторите на пощенски сървъри, че техните POP3/IMAP сървъри нямат активиран TLS, което излага некриптираните потребителски имена и пароли на атаки чрез „sniffing“.

„Това означава, че паролите, използвани за достъп до пощата, могат да бъдат прихванати от мрежов sniffer. Освен това излагането на услугата може да даде възможност за атаки за отгатване на пароли срещу сървъра“, казват от Shadowserver.

„Ако получите този доклад от нас, моля, включете TLS поддръжката за IMAP, както и помислете дали услугата изобщо трябва да бъде активирана или да бъде преместена зад VPN.“

IMAP и POP3 пощенски сървъри без TLS. Според легендата, в България са позиционирани между 5 и 10 000 такива сървъра. (Shadowserver)

Първоначалната спецификация TLS 1.0 и нейният наследник TLS 1.1 се използват от почти две десетилетия, като TLS 1.0 е представен през 1999 г., а TLS 1.1 – през 2006 г. След продължителни дискусии и разработване на 28 проекта на протокола, през март 2018 г. работната група по интернет инженерство (IETF) одобри TLS 1.3 – следващата основна версия на протокола TLS.

В координирано съобщение през октомври 2018 г. Microsoft, Google, Apple и Mozilla заявиха, че ще изтеглят от употреба несигурните протоколи TLS 1.0 и TLS 1.1 през първата половина на 2020 г. От август 2020 г. Microsoft започна да активира TLS 1.3 по подразбиране в най-новите Windows 10 Insider builds.

През януари 2021 г. NSA също така предостави насоки за идентифициране и замяна на остарелите версии и конфигурации на протокола TLS със съвременни, сигурни алтернативи.

„Остарелите конфигурации осигуряват на противниците достъп до чувствителен оперативен трафик чрез различни техники, като пасивно декриптиране и модифициране на трафика чрез атаки тип „човек по средата“,“ заяви NSA.

„Нападателите могат да използват остарелите конфигурации на протокола за сигурност на транспортния слой (TLS), за да получат достъп до чувствителни данни, като за това са необходими много малко умения.“