TLS Verbindungstest

[Krangel (Gast)]

Hi,
ich habe mal die TLS Verbindung meines Providers mit 
http://www.checktls.com/index.html getestet, habe aber Probleme das 
Kauderwelsch richtig zu verstehen.

Below are the details from your CheckTLS TestSender test
from <[e-mail]> via [212.227.126.187]
run on 2013-07-25 10:51:11 EDT.
Original email Subject: cxch2u2gywdkd

Your email was successfully sent securely using TLS.

A transcript of the eMail SMTP session is below:
--> this would be a line from your email system to our test
<-- and this would be a line to your email system from our test

If TLS was negotiated, a line is added:
====tls negotiation successful (cypher: cyphername, client cert: certinfo)

Everything after that line is secure (encrypted), as indicated by:
~~> commands from your system then have wiggly lines
<~~ and responses from our system do too

Any errors that the test noticed are noted in the log by asterisk boxes:
***************************************
*** ********** Error Note ********* ***
***                                 ***
*** The error message would be here ***
***************************************
***************************************

___TRANSCRIPT BEGINS ON THE NEXT LINE___
<-- 220 ts3.checktls.com CheckTLS TestSender Thu, 25 Jul 2013 10:51:09 -0400
--> EHLO moutng.kundenserver.de
<-- 250-ts3.checktls.com Hello moutng.kundenserver.de [212.227.126.187], pleased to meet you
<-- 250-ENHANCEDSTATUSCODES
<-- 250-8BITMIME
<-- 250-STARTTLS
<-- 250 HELP
--> STARTTLS
<-- 220 Ready to start TLS
====tls negotiation successful (cypher: RC4-SHA, client cert: Subject Name: undefined;Issuer  Name: undefined;)
~~> EHLO moutng.kundenserver.de
<~~ 250-ts3.checktls.com Hello moutng.kundenserver.de [212.227.126.187], pleased to meet you
<~~ 250-ENHANCEDSTATUSCODES
<~~ 250-8BITMIME
<~~ 250 HELP
~~> MAIL FROM:<[e-mail]>
<~~ 250 Ok - mail from [e-mail]
~~> RCPT TO:<[e-mail]>
<~~ 250 Ok - recipient [e-mail]
~~> DATA
<~~ 354 Send data.  End with CRLF.CRLF
~~> Received: from [192.168.178.23] (port-92-206-5-181.dynamic.qsc.de [92.206.5.181])
~~>   by mrelayeu.kundenserver.de (node=mreu2) with ESMTP (Nemesis)
~~>   id 0M3fOP-1UBVBE1mjZ-00r0b2; Thu, 25 Jul 2013 16:51:09 +0200
~~> Message-ID: <[e-mail]>
~~> Date: Thu, 25 Jul 2013 16:51:02 +0200
~~> From: XXXXXX XXX <[e-mail]>
~~> User-Agent: Mozilla/5.0 (Windows NT 5.1; rv:17.0) Gecko/20130620 Thunderbird/17.0.7
~~> MIME-Version: 1.0
~~> To: [e-mail]
~~> Subject: cxch2u2gywdkd
~~> X-Enigmail-Version: 1.5.2
~~> Content-Type: text/plain; charset=ISO-2022-JP
~~> Content-Transfer-Encoding: 7bit
~~> X-Provags-ID: V02:K0:RLXCQAV0+mb50Gm4rIA94Q26MX6KSh5Kt5MsfJGKuIG
~~>  6AZ8AXYZAJ/GokK+LU3fNMzb8SjMezM3fOnVOSVHXR4dHsDPkx
~~>  2Wlc33C6QatIKYL/1BFBMYFrLtnZS9G+enpy4J7ZwmsqrVf1k5
~~>  wvGQCY2q/Q5sB371o1XBRW8rEINqkBkDxhJbjV3na4VZFkXaLq
~~>  FQEjq5wt/+E9NEoXgcUPRu+Ea1/0QFWR8QjrCBCqX6pTUjOfiO
~~>  HaEQC+P8J3ah3pYoN1FB9UC7x739nQerpcrCjPBi2h6SKT0zRk
~~>  io9ohXCsBAsNhUuW27n/+Cfd1L4HRgKKE6+NRZZyFd1gi18F/Z
~~>  n6I3faMjyv8doJ34MEsc=
~~> 
~~> Thank you for using CheckTLS.com!
~~> .
<~~ 250 Ok
~~> QUIT
<~~ 221 ts3.checktls.com closing connection

Es geht um die Zeile "====tls negotiation successful (cypher: RC4-SHA, 
client cert: Subject Name: undefined;Issuer  Name: undefined;)"

Wenn ich das richtig verstehe gab es keine Zertifikation und somit wäre 
die Verbindung durch Man-in-the-middle angeifbar. Oder sehe ich da was 
falsch?
Grüße

[Udo N. (weinbauer73)]

Die zwei Felder des Zertifikates sind einfach nicht ausgefüllt oder 
werden nicht erkannt. Eigentlich sollte da u.a. der Hostname und 
Herausgeber zu finden sein. Mein Mailserver enthält ein dreistufiges 
Zertifikat und wird korrekt beim Test angezeigt. Nur am Hostname stört 
sich der Test, ist aber die gleiche Kiste.

[Malte S. (maltest)]

Krangel schrieb:
> tls negotiation successful (cypher: RC4-SHA, client cert: Subject Name:
> undefined;Issuer  Name: undefined;)

Das heißt, 1&1 versendet zwar unter Verwendung von TLS, identifiziert 
sich aber nicht mit Client-Zertifikat. Dürfte üblich sein, 
verschlechtert die ohnehin nicht vorhandene Absenderverifizierung auch 
nicht. Der empfangende Server weiß halt dann nicht, ob da wer dazwischen 
sitzt.
Andererseits: je nach dem, wen du als MITM ausschließen 
willst...manchmal haben die ja auch gültig erscheinende Zertifikate...

RC4-SHA ist natürlich auch nicht das Gelbe vom Ei. Mein lokaler 
Eingangsserver handlet beim Receiver Test von checktls.com 
DHE-RSA-AES256-SHA aus. Der Ausgangsserver meines Providers dagegen 
sendet komplett ohne TLS.
Es ist noch ein weiter Weg^^

[Malte S. (maltest)]

Udo Neist schrieb:
> Die zwei Felder des Zertifikates sind einfach nicht ausgefüllt oder
> werden nicht erkannt. Eigentlich sollte da u.a. der Hostname und
> Herausgeber zu finden sein.

Richtig. Aber mit Subject: undefined wird das schonmal nichts. Es liegt 
einfach gar kein (Client)-Zertifikat vor.

[Krangel (Gast)]

Hi,

Malte S. schrieb:
> Der Ausgangsserver meines Providers dagegen
> sendet komplett ohne TLS.

darf man fragen welchen Provider du hast?

Wir sollten hier eine Liste der Provider mit ihren Verschlüsselungen 
machen.

1. 1&1 : TLS-->Ja      Zertifikat-->Nein


Grüße

[Malte S. (maltest)]

Krangel schrieb:
> 1. 1&1 : TLS-->Ja      Zertifikat-->Nein
2. Versatel : TLS-->Nein ---

[Läubi .. (laeubi)]

Malte S. schrieb:
> 2. Versatel : TLS-->Nein ---
3. domain*go TLS (AES256-SHA), Client-Zertifikat Nein

Ein Clientzertifikat macht in diesem Szenario auch nicht so wahnsinnig 
viel Sinn, es sei denn man möchte nur von bestimmten vertrauten Servern 
Mails empfangen/senden, da idr man aber eher von vielen unbekannten 
Servern Mails ausgetauscht wird würde das den Mailaustausch schon arg 
behindern. Da der Mailserver eh nur "Transportknecht" ist, wäre PGP hier 
zielführender, dann könnte man nur von vertrauten Absendern Mails 
annehmen, über welche Server die ging wäre dann unerheblich.