[Postfixbuch-users] smtp.1und1.de und TLS

[Matthias Bitterlich]

Hi,

kann es sein, dass 1&1 unterschiedliche "Sicherheits-Standards" verwendet - jeweils abhängig über welche Leitung der Nutzer kommt?
Ich habe mit mehreren System unterschiedlichen Alters je Leitung die gleichen Ergebnisse beim Aufruf von:

openssl s_client -starttls smtp -connect smtp.1und1.de:587
bzw.
openssl s_client -starttls smtp -connect 212.227.15.183:587


Telekom-DSL: ------------------------------------------------------------

New, TLSv1/SSLv3, Cipher is ECDHE-RSA-AES256-GCM-SHA384
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1.2
Cipher : ECDHE-RSA-AES256-GCM-SHA384
Session-ID: 66996A87A548B6F1B1B1629A5265DEBA16BB3DA147A3E113867893A3D516DF8A
Session-ID-ctx:
Master-Key: 17F03330901530BD1EE0FDB6C0B0413380A043DD72788050D21654074913430B9CE3B07F04445A787D5503056DD56F52
Key-Arg : None
PSK identity: None
PSK identity hint: None
SRP username: None
Start Time: 1391458843
Timeout : 300 (sec)
Verify return code: 0 (ok)
---

Postfix-Log: Feb 3 21:39:13 tux postfix/smtp[7101]: Trusted TLS connection established to smtp.1und1.de[212.227.15.183]:587: TLSv1 with cipher ECDHE-RSA-AES256-SHA (256/256 bits)


Interoute-DSL: ------------------------------------------------------------
New, TLSv1/SSLv3, Cipher is AES256-SHA
Server public key is 2048 bit
Secure Renegotiation IS supported
Compression: NONE
Expansion: NONE
SSL-Session:
Protocol : TLSv1
Cipher : AES256-SHA
Session-ID: 4A1B961583A6F2425F46B455EE41EEA82383CF2963FC525A6338C132A18BC555
Session-ID-ctx:
Master-Key: 994D47F1E6E286A0B5C901BB2189BE65417B738B71BE7F21C4C5A433DA5046AF7738CFA6C1B6EFE11263ADF7199D0E6F
Key-Arg : None
Start Time: 1391458571
Timeout : 300 (sec)
Verify return code: 20 (unable to get local issuer certificate)
---

Postfix-Log: Feb 3 15:51:09 tux2 postfix/smtp[26448]: Trusted TLS connection established to smtp.1und1.de[212.227.15.183]:587: TLSv1 with cipher AES256-SHA (256/256 bits)




Gruß
Matthias

[Jens Adam]

Am Mon, 03 Feb 2014 21:59:07 +0100

Post by Matthias Bitterlich
mit mehreren System unterschiedlichen Alters

Sicher, dass das nicht vielleicht doch die Ursache ist?
Also unterschiedliche Versionen von Postfix bzw. OpenSSL auf 'tux' und
'tux2'?

Gruß,
Jens
-------------- nächster Teil --------------
Ein Dateianhang mit Binärdaten wurde abgetrennt...
Dateiname : signature.asc
Dateityp : application/pgp-signature
Dateigröße : 455 bytes
Beschreibung: nicht verfügbar
URL : <https://listi.jpberlin.de/pipermail/postfixbuch-users/attachments/20140204/86e45b92/attachment.asc>

[Matthias Bitterlich]

Post by Jens Adam
Am Mon, 03 Feb 2014 21:59:07 +0100

Post by Matthias Bitterlich
mit mehreren System unterschiedlichen Alters

Ich habe am Standort "tux" openSuSE 13.1 und Debian 7.3
und am Standort "tux2" Debian 6.04, SLES10 SP4, SLES11 SP3 (hier werde ich
heute noch ein Debian 7 zum Vergleich aufsetzen)

Die openssl-Ausgaben habe ich mit o.g. Systemen bekommen.

Post by Jens Adam
Sicher, dass das nicht vielleicht doch die Ursache ist?
Also unterschiedliche Versionen von Postfix bzw. OpenSSL auf 'tux' und
'tux2'?

Standort "tux"
Debian 7.3, openssl 1.0.1e+deb7u3
openSuSE 13.1, openssl 1.0.1e+deb7u3

Standort "tux2"
Debian 6.0.4, openssl 0.9.8o-4sq
SLES 10 SP4, openssl 0.9.8a-18.76.1
SLES 11 SP3, openssl 0.9.8j-0.50.1

Sollte es daran liegen ... dann muss ich wohl tux2 in Rente schicken. ;-)
Heute Abend mehr.

Gruß
Matthias

[Igor Sverkos]

Hallo,

das liegt an OpenSSL. TLS 1.1 und 1.2 Support gab es erstmals in der
1.0.1-Serie.

[Matthias Bitterlich]

Post by Igor Sverkos
das liegt an OpenSSL. TLS 1.1 und 1.2 Support gab es erstmals in der
1.0.1-Serie.

Danke für die Antworten.

Das habe ich heute nach einiger Recherche dann auch raus bekommen ... und
sogar bei SuSE einen Blogeintrag zu TLS 1.2 ...

Fazit: .. zurzeit unter SLES mit Bordmitteln nicht zu lösen :-(


Auslöser war meine Überraschung bei der Postfix-TLS-Umstellung auf dem Rechner
mit openssl 1.0.1, wo ich plötzlich ECDHE und nicht nur AES256-SHA bei
smtp.1und1.de als Ausgabe bekommen habe.

An den Versionsunterschied habe gar nicht gedacht, da Aussagen im Web und
selbst die der 1&1-Hotline etwas anderes sagen:

--- schnipp ------
Sehr geehrter Herr Bitterlich,

vielen Dank für Ihre Mitteilung und das gezeigte Interesse. Gerne möchten wir
Ihnen weiterhelfen und freuen uns, dass die Umstellung auf SSL bei Ihnen
reibungslos verlaufen ist.

Die Verschlüsselung auf Perfect Forwarding Secrecy, kurz PFS, wird von unserer
Server-Architektur derzeit noch nicht unterstützt. Leider gibt es derzeit auch
noch keinen Termin, wann dieses Kryptographie-Protokoll bei uns aktiv genutzt
werden wird.

Auch etwaige Planungen sind momentan in dieser Richtung noch nicht bekannt,
weshalb wir uns sicher sind, dass PFS dieses Jahr noch nicht eingebunden wird.

Sollten sich aber Änderungen diesbezüglich ergeben, setzen wir unsere Kunden
natürlich umgehend in Kenntnis.
--- /schnipp ------


Jetzt hat der andere Rechner eine fristlosse Entlassung bekommen ... ;-)

Gruß
Matthias