MTA-STS 개요

MTA-STS 문서에 오신 것을 환영합니다. 사이드바 또는 아래 링크를 사용하여 탐색하세요:

MTA-STS란 무엇인가요?

MTA-STS는 이메일 서버가 프로토콜을 지원하는 다른 서버로 이메일을 보낼 때 전송 계층 보안(TLS) 암호화 및 인증서 유효성 검사를 강제할 수 있도록 하는 보안 프로토콜입니다. MTA-STS는 TLS를 통한 메일 전송 에이전트 엄격 전송 보안을 의미하며, RFC 8461에 정의되어 있습니다.

MTA-STS는 어떻게 작동하나요?

MTA-STS는 이메일 서버가 다른 서버가 자신에게 연결하는 방법을 지정하는 정책을 게시할 수 있도록 함으로써 작동합니다. 정책에는 다음 정보가 포함됩니다:

• 정책의 유효 기간
• TLS 암호화가 필수인지 선택 사항인지 여부
• 서버의 인증서가 도메인 이름과 일치해야 하는지 또는 신뢰할 수 있는 기관에 의해 서명되어야 하는지 여부
• 연결 실패 또는 정책 위반을 보고하는 방법

정책은 DNS TXT 레코드와 웹 서버에 호스팅된 파일 두 가지 방법으로 게시됩니다. DNS TXT 레코드는 정책 파일이 위치한 웹 서버에 대한 포인터를 포함합니다. 정책 파일의 이름은 .well-known/mta-sts.txt이며, 키-값 쌍으로 구성된 일반 텍스트 파일로 형식화됩니다.

이메일 서버가 MTA-STS를 지원하는 다른 서버로 이메일을 보내고자 할 때, 먼저 수신 도메인의 DNS TXT 레코드를 쿼리하여 정책이 있는지 확인합니다. 정책이 있으면 웹 서버에서 정책 파일을 가져와 정책의 지침을 따릅니다. 정책이 TLS 암호화 및 인증서 유효성 검사를 요구하는 경우, 이메일 서버는 수신 서버와 안전하고 인증된 연결을 설정할 수 있는 경우에만 이메일을 전달합니다. 정책이 선택 사항인 경우, 이메일 서버는 TLS 암호화 및 인증서 유효성 검사를 시도하지만 실패할 경우 일반 텍스트 연결로 대체합니다. 정책이 없거나 만료된 경우, 이메일 서버는 이메일 전달을 위한 기본 설정을 사용합니다.

MTA-STS max-age 설정

MTA-STS 정책의 max_age 지시는 정책의 최대 수명을 초 단위로 지정합니다. 다음은 이에 대한 몇 가지 주요 사항입니다:

• 허용 값: 31,557,600초(1년에 해당)까지의 양의 정수.
• 예시: max_age를 604,800초(1주일)에 설정할 수 있습니다.

max_age의 목적은 서버가 새로운 정책을 확인하기 전에 MTA-STS 정책을 캐시해야 하는 기간을 결정하는 것입니다. 예를 들어, Google은 86,400초(하루) 이상의 max_age를 가진 정책을 처리합니다. max_age의 최대 값은 31,557,600초입니다.

적절한 max_age 값을 선택하는 것은 중요합니다. 다음은 몇 가지 고려 사항입니다:

1. 짧은 max_age:
   • 상호 운용성 문제 발생 시 MTA-STS의 제거 또는 변경이 더 쉬워집니다.
   • 아직 MTA-STS를 지원하지 않지만 향후 지원할 계획이 있는 대형 통합자에게 유용합니다.
2. 긴 max_age:
   • 정책 확인 빈도를 줄입니다.
   • 빈번한 정책 업데이트의 필요성을 최소화하여 더 나은 성능을 제공합니다.
   • 그러나 필요한 정책 변경 사항이 전파되는 데 시간이 더 걸린다는 단점이 있습니다.

MTA-STS와 DMARC의 작동 방식

MTA-STS와 DMARC는 이메일 통신의 보안과 프라이버시를 강화하는 데 상호 보완적입니다. MTA-STS는 이메일 서버 간의 연결을 가로채거나 수정하는 것을 방지하고, DMARC는 이메일의 내용과 헤더를 스푸핑 및 피싱으로부터 보호합니다. 두 프로토콜을 모두 사용함으로써 이메일 서버와 사용자는 이메일 통신에 대한 더 높은 수준의 신뢰와 확신을 얻을 수 있습니다.

MTA-STS가 중요한 이유는 무엇인가요?

MTA-STS는 이메일 통신의 보안과 프라이버시를 강화하기 때문에 중요합니다. TLS 암호화 및 인증서 유효성 검사를 강제함으로써, MTA-STS는 공격자가 전송 중인 이메일을 가로채거나 수정하거나 스푸핑하는 것을 방지합니다.

이는 피싱, 악성 소프트웨어, 스팸 및 신원 도용의 위험을 줄입니다. MTA-STS는 또한 이메일 서버가 산업 또는 지역의 보안 표준 및 규정을 준수하는 데 도움을 줍니다.

MTA-STS의 제한 사항

MTA-STS에는 이메일 서버와 사용자가 알아야 할 몇 가지 제한 사항이 있습니다. 그 중 일부는 다음과 같습니다:

• 범위: MTA-STS는 이메일 서버 간의 연결에만 적용되며, 이메일 클라이언트와 서버 간의 연결에는 적용되지 않습니다. 따라서 이메일 클라이언트와 사용자는 이메일을 무단 액세스 또는 변조로부터 보호하기 위해 종단 간 암호화와 같은 다른 보안 조치를 여전히 사용해야 합니다.
• DNS 및 웹 서버 의존성: MTA-STS는 정책을 호스팅하는 DNS 및 웹 서버의 가용성과 무결성에 의존합니다. 이러한 서버가 손상되거나 오프라인 상태이거나 잘못 구성된 경우, 정책이 접근 가능하거나 정확하지 않을 수 있으며 이메일 전달에 영향을 미칠 수 있습니다.
• 정책 시행: MTA-STS는 정책을 준수하지 않는 이메일을 수락하거나 보내는 것을 방지하지 않습니다. 예를 들어, 이메일 서버는 TLS 암호화 또는 인증서 유효성 검사를 사용하지 않는 발신자로부터 이메일을 수락하거나 MTA-STS를 지원하지 않는 수신자에게 이메일을 보낼 수 있습니다. 따라서 이메일 서버와 사용자는 여전히 SPF, DKIM 및 DMARC와 같은 다른 보안 메커니즘을 사용하여 이메일 발신자와 수신자의 신원과 진위 여부를 확인해야 합니다.

관련 주제

• TLS-RPT 도메인 설정 - TLS-RPT/MTA-STS 설정 구성