STARTTLS

TLS oportunista (Transport Layer Security) fa referència a extensions en protocols de comunicació de text pla, que ofereixen una manera d'actualitzar una connexió de text pla a una connexió xifrada (TLS o SSL) en lloc d'utilitzar un port separat per a la comunicació xifrada. Diversos protocols utilitzen una ordre anomenada "STARTTLS" o "TLS explícit" per a aquest propòsit. És una forma de xifratge oportunista i està pensat principalment com a contramesura a la vigilància passiva.^[1]

L'ordre STARTTLS per a IMAP i POP3 es defineix a RFC 2595, per a SMTP a RFC 2595, per a XMPP en RFC 3207 i per a NNTP a RFC 4642. Per a l'IRC, el grup de treball de l'IRCv3 va definir una extensió STARTTLS, tot i que posteriorment va ser obsoleta.^[2] FTP utilitza l'ordre "AUTH TLS" definida a RFC 4217 i LDAP defineixen un OID d'extensió de protocol a RFC 2830. L'HTTP utilitza una capçalera d'actualització.^[3]

TLS és neutre pel que fa a l'aplicació; en paraules de  :

Un avantatge de TLS és que és independent del protocol d'aplicació. Els protocols de nivell superior es poden superposar al protocol TLS de manera transparent. Tanmateix, l'estàndard TLS no especifica com els protocols afegeixen seguretat amb TLS; les decisions sobre com iniciar la comunicació TLS i com interpretar els certificats d'autenticació intercanviats es deixen a criteri dels dissenyadors i implementadors dels protocols que s'executen sobre TLS.^[4]

L'estil utilitzat per especificar com utilitzar TLS coincideix amb la mateixa distinció de capa que també és compatible amb diverses implementacions de biblioteques de TLS. Per exemple, el/la/els/les L'extensió SMTP il·lustra amb el següent diàleg com un client i un servidor poden iniciar una sessió segura:^[5]

S: <espera la connexió al port TCP 25>

C: <obre la connexió>

S: 220 mail.example.org Servei ESMTP preparat

C: EHLO client.example.org

S: 250-mail.example.org ofereix una càlida abraçada de benvinguda

S: 250 STARTTLS

C: STARTTLS

S: 220 Endavant

C: <inicia la negociació TLS>

C i S: <negocien una sessió TLS>

C i S: <verifiquen el resultat de la negociació>

C: EHLO client.example.org

L'última ordre EHLO anterior s'emet a través d'un canal segur. Tingueu en compte que l'autenticació és opcional a SMTP i que la resposta del servidor omesa ara pot anunciar de manera segura una extensió AUTH PLAIN SMTP, que no és present a la resposta de text sense format.

A més de l'ús de TLS oportunista, es van definir diversos ports TCP per a versions segures per SSL de protocols coneguts. Aquests estableixen comunicacions segures i després presenten un flux de comunicació idèntic a l'antic protocol no xifrat. Els ports SSL separats tenen l'avantatge de menys viatges d'anada i tornada; també es transmeten menys metadades de forma no xifrada.^[6] Alguns exemples inclouen:

Almenys per als protocols relacionats amb el correu electrònic,  afavoreix TLS implícit (utilitzant ports SSL separats) en comptes de STARTTLS.

TLS oportunista és un mecanisme de xifratge oportunista. Com que la confirmació inicial es produeix en text sense format, un atacant que controli la xarxa pot modificar els missatges del servidor mitjançant un atac man-in-the-middle per fer que sembli que TLS no està disponible (anomenat atac STRIPTLS). La majoria de clients SMTP enviaran el correu electrònic i possiblement les contrasenyes en text sense format, sovint sense notificar-ho a l'usuari. En particular, moltes connexions SMTP es produeixen entre servidors de correu, on la notificació a l'usuari no és pràctica.

El setembre de 2014, es va descobrir que dos proveïdors d'Internet a Tailàndia feien això als seus propis clients.^[7][8] A l'octubre de 2014, es va revelar que Cricket Wireless, una filial d' AT&T, estava fent això als seus clients. Aquest comportament va començar ja al setembre de 2013 per part d'Aio Wireless, que més tard es va fusionar amb Cricket, on la pràctica va continuar.^[9][7]

Els atacs STRIPTLS es poden bloquejar configurant els clients SMTP perquè requereixin TLS per a les connexions sortints (per exemple, l'agent de transferència de missatges Exim pot requerir TLS mitjançant la directiva "hosts_require_tls").^[10] Tanmateix, com que no tots els servidors de correu admeten TLS, no és pràctic exigir TLS per a totes les connexions.

Un exemple d'un atac STRIPTLS del tipus utilitzat en la tecnologia de vigilància massiva tailandesa:^[11]

   220 smtp.gmail.com ESMTP mail.redacted.com - gsmtp
   ehlo a
   250-smtp.gmail.com at your service, [REDACTED SERVICE]
   250-SIZE 35882577
   250-8BITMIME
   # The STARTTLS command is stripped here
   250-ENHANCEDSTATUSCODES
   250-PIPELINING
   250 SMTPUTF8

Suposant que el costat del client ho admet (resolució de noms del client i del servidor DNS aigües amunt del client), aquest problema es pot solucionar mitjançant l'autenticació d'entitats anomenades basada en DNS (DANE), una part de DNSSEC, i en particular mitjançant  per a SMTP. DANE permet anunciar la compatibilitat amb SMTP segur mitjançant un registre TLSA. Això indica als clients que es connecten que haurien de requerir TLS, evitant així els atacs STRIPTLS. El projecte STARTTLS Everywhere de l' Electronic Frontier Foundation funciona de manera similar. Tanmateix, les DNSSEC, a causa de les complexitats de desplegament i les peculiaritats crítiques,^[12] es va enfrontar a una baixa taxa d'adopció i un grup de proveïdors de serveis de correu electrònic importants, com ara Microsoft, Google i Yahoo, ha elaborat un nou protocol anomenat SMTP MTA Strict Transport Security o MTA-STS.^[13] MTA-STS no requereix l'ús de DNSSEC per autenticar els registres DANE TLSA, sinó que es basa en el sistema d'autoritat de certificació (CA) i un enfocament de confiança en el primer ús (TOFU) per evitar intercepcions. El model TOFU redueix la complexitat però sense les garanties en el primer ús que ofereixen les DNSSEC. A més, MTA-STS introdueix un mecanisme per a la notificació d'errors i un mode només d'informes, que permet el desplegament progressiu i l'auditoria del compliment.

Arran de les revelacions fetes per Edward Snowden a la llum de l'escàndol de vigilància massiva global, els proveïdors de correu electrònic més populars han millorat la seva seguretat habilitant STARTTLS. Facebook va informar que després d'habilitar STARTTLS i animar altres proveïdors  per fer el mateix, fins que Facebook va suspendre el seu servei de correu electrònic el febrer de 2014, el 95% del correu electrònic sortint estava xifrat amb secret de reenviament perfecte i validació estricta de certificats.^[14]