Google, Microsoft, Yahoo Và Nhiều Công Ty Khác Cùng Phát Triển Chuẩn Bảo Mật SMTP Mới

Hạ tuần tháng 03/2016, nhóm các kỹ sư đến từ Google, Microsoft, Yahoo, Comcast, LinkedIn và 1&1 Mail đã cùng phát triển một cơ chế bảo mật mới dành cho giao thức truyền tải thư tín đơn giản SMTP (Simple Mail Transfer Protocol), vốn đã được sử dụng để gởi email trong suốt 34 năm.

Theo đó, cơ chế mới sẽ cho phép các nhà cung cấp dịch vụ email kiểm soát sâu hơn giao tiếp giữa máy chủ và máy khách, tăng cường tính bảo mật và ngăn ngừa tin tặc tấn công.

Nhóm phát triển đã định nghĩa cơ chế mới và công bố dưới dạng một tiêu chuẩn kỹ thuật Internet chuyên biệt (IETF). SMTP  đã được sử dụng để truyền tải email giữa máy khách và máy chủ, và giữa các nhà cung cấp dịch vụ email với nhau kể từ năm 1982. Nó vốn không được tích hợp bất cứ tùy chọn mã hóa nào.

Hồi năm 2002, phần mở rộng có tên STARTTLS đã được bổ sung vào giao thức SMTP, nhằm đưa cơ chế bảo mật TLS (Transport Layer Security) vào kết nối SMTP. Nhưng nó vẫn chưa được đón nhận rộng rãi. Tuy nhiên, vụ rò rỉ tài liệu mật của điệp viên Edward Snowden hồi năm 2013, cho thấy Mỹ, Anh và nhiều nước khác đã theo dõi các giao tiếp Internet của người dân.

Đến tháng 05/2014, Facebook đã thử nghiệm với hàng loạt email chứa nội dung thông báo gửi đến người dùng mỗi ngày. Kết quả cho thấy, 58% lượng email được gửi qua một kết nối được mã hóa bởi STARTTLS.Tỷ lệ này đã tăng lên 95% vào tháng 08/2014.

Cơ chế mã hóa mới gọi là SMTP STS (SMTP Strict Transport Security) sẽ mang lại cho các nhà cung cấp dịch vụ email những giải pháp để thông báo cho máy khách đang thiết lập kết nối rằng, cơ chế mã hóa TLS đang sẵn có và nên được sử dụng. Ngoài ra, cơ chế mới cũng cho máy khách biết được các chứng chỉ số sẽ được xác thực như thế nào và điều gì có thể xảy ra nếu kết nối TLS không thể được thiết lập an toàn.

Các chính sách của cơ chế SMTP STS cũng được định nghĩa thông qua những dải DNS đặc biệt được thêm vào tên miền của máy chủ email. Giao thức kết nối sẽ cung cấp các cơ chế cho máy khách để tự động xác thực các chính sách này, và thông báo ngược lại cho máy khách trong trường hợp xác thực không thành công.

Các máy chủ cũng có thể thông báo cho máy khách sao lưu lại các chính sách do cơ chế SMTP STS đặt ra trong một khoảng thời gian nhất định nhằm ngăn ngừa khả năng tấn công MITM khi tin tặc có thể tạo ra các chính sách giả mạo để can thiệp vào kết nối.

Cách thức hoạt động của SMTP STS tương tự với HSTS (HTTP Strict Transport Security), nó cũng ngăn ngừa khả năng tấn công hạ cấp bảo mật từ giao thức HTTPS bằng cách lưu đệm lại các chính sách HTTPS của một tên miền ngay trong trình duyệt. Tuy nhiên, nó chỉ an toàn trong trường hợp kết nối đầu tiên từ máy khách với máy chủ được thực hiện mà không bị can thiệp. Trong trường hợp kết nối bị can thiệp từ trước, bộ chính sách giả mạo vẫn có thể bị lưu lại.

Dữ liệu mới nhất của Google cho biết, 83% email gử đi bằng Gmail được mã hóa, nhưng với các email được gửi đến từ các dịch vụ khác, tỷ lệ này chỉ khoảng 69%. Ngoài ra, tỷ lệ email được mã hóa cũng khác biệt giữa các khu vực khác nhau, các nhà cung cấp dịch vụ email tại Châu Á và Châu Phi thường ít chú trọng vấn đề bảo mật hơn so với Châu Âu và Mỹ.