Emails verschlüsselt Abrufen (Hostingpakete < Profi)

k_wave

Hallo zusammen,

ich war heute kurz davor zwei Business Hostingpakete zu buchen um zwei Projekte zu realisieren.
Eine kurze Anfrage beim, wie immer äußerst freundlichen (Großes Lob!), Support brachte allerdings eine kleine Überraschung zu Tage:

Die POP / IMAP und SMTP Server können nicht per SSL angesprochen werden :eek:
Dies sei bei allen Hostingpaketen so.

Ich hatte die Frage eigentlich nur proforma gestellt, da SSL sonst (selbst bei jedem Free-Mail Anbieter) verfügbar ist. Für mich ist das ein echtes No-Go da das sonst bedeuten würde dass alle Passwörter unsicher über die Leitung gehen.

Warum wird nicht generell SSL für E-Mails angeboten? Es müsste ja nicht einmal ein extra Zertifikat genutzt werden... Eines für einen Zentralen Netcup Mailserver auf dem alle Hostingpakete ihre Emails checken würde ja schon reichen.

An alle Webhosting Kunden: Wie verfahrt Ihr mit diesem Problem?

ice-breaker

Zitat von k_wave;21524

Für mich ist das ein echtes No-Go da das sonst bedeuten würde dass alle Passwörter unsicher über die Leitung gehen.

es gibt bei POP3 und SMTP auch verschlüsselte Passwortübertragung ohne SSL
du musst dir nur anschauen, ob die Mail-Server diese Authentifizierungsformen auch können (ich weiß sie gerade nicht auswendig)

Zitat von k_wave;21524

Warum wird nicht generell SSL für E-Mails angeboten? Es müsste ja nicht einmal ein extra Zertifikat genutzt werden... Eines für einen Zentralen Netcup Mailserver auf dem alle Hostingpakete ihre Emails checken würde ja schon reichen.

Hmm, ja, da hast du recht, es würden ja sogar selbst signierte ok sein, wer SSL nutzen möchte, erlaubt dann eben das Zertifikat.

Artimis

Ebenso schlimm finde ich, dass ebenfalls kein verschlüsselter FTP-Verkehr möglich ist.
Mit Webspace kann man auch allerhand Unsinn anstellen, von den möglicherweise sensiblen Daten, die völlig offen liegen, einmal abgesehen.

ice-breaker

Ich habe nochmal nachgeschaut, die Passwortübertragung ist nicht garantiert Plaintext, es gibt durchaus Protokollerweiterungen für die sichere Anmeldung:

SMTP: SMTP Auth
POP3: APOP

nur FTP hat keine sichere Authentifizierung.
Allerdings finde ich du malst den Teufel auch etwas sehr an die Wand, immerhin müsste ein MITM stattfinden, um deine Passwörter abzufangen, und das ist doch eher ein theoretisches Konzept.
Es seiden dein Rechner ist virenverseucht, aber dann braucht man nicht einmal einen MITM.

k_wave

Bleibt die Frage ob die von dir genannten Verfahren überhaupt unterstützt werden.
Trotz der "sicheren" Authentifizierung kann hier jeder den eigentlichen Datenstrom im Klartext mitlesen.

Man braucht hier garnicht so weit zu gehen:
-Einmal im offenen WLAN am Flughafen Emails gechecked...
-Im vermeintlich sicheren LAN jemand mit Sniffer sitzen (ob nun über ARP-Spoofing oder nen Monitor Port am Switch sei mal dahingestellt)
etc...

Mir ist es einfach nicht verständlich warum die SSL Option nicht angeboten wird. Das ganze sollte doch in einer einmaligen Aktion von ner halben Stunde eingerichtet sein. Kosten = 0 + Arbeitszeit (wenn eine CA von Netcup selbst zum Signieren verwendet wird)

Artimis

Ein MITM ist _sehr_ einfach zu realisieren. Ich habe es testweise schon im LAN gemacht.
Man sagt einfach dem nächstliegenden Knoten, dass man die IP-Adresse des Zielrechners hat. Den ankommenden Datenstrom loggt man dann mit und sendet ihn weiter an den eigentlichen Zielrechner. Das Procedere ist recht einfach, insbesondere im LAN. Wenn man dann von Uni (wobei bei uns Maßnahmen dagegen getroffen wurden), Inet-Cafe, Arbeitsplatz, Schule oder sonstwo FTP oder Email benutzen möchte...
Auch ein Anzapfen des Datenverkehrs durch Austauschen oder Manipulieren eines Routers ist kaum ein Problem.