Re: Allgemeine Frage zur Annahme von Zertifikaten

Andreas Metzler

unread,

Jul 17, 2021, 1:45:21 PM7/17/21

to

Hallo,

leider gibt es eine nichtleere Menge von Mailservern, die nicht jedem
anderen Server überhaupt TLS offerieren. Eurex/Deutsche Börse z.B.:
~$ swaks -tls -f '<>' -q ehlo -t postm...@eurex.com
=== Trying mail12.deutsche-boerse.com:25...
=== Connected to mail12.deutsche-boerse.com.
<- 220 mail12.deutsche-boerse.com ESMTP
-> EHLO [deleted]
<- 250-mail12.deutsche-boerse.com
<- 250-8BITMIME
<- 250 SIZE 10485760
*** Host did not advertise STARTTLS
-> QUIT
<- 221 mail12.deutsche-boerse.com
=== Connection closed with remote host.

Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

Da gibt es noch mehr solche Kandidaten.

cu Andreas
--
`What a good friend you are to him, Dr. Maturin. His other friends are
so grateful to you.'
`I sew his ears on from time to time, sure'

Thomas Hochstein

unread,

Jul 17, 2021, 2:15:02 PM7/17/21

to

Andreas Metzler schrieb:

> leider gibt es eine nichtleere Menge von Mailservern, die nicht jedem
> anderen Server überhaupt TLS offerieren. Eurex/Deutsche Börse z.B.:
> ~$ swaks -tls -f '<>' -q ehlo -t postm...@eurex.com

[...]

> Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
> zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

Bieten die denn _überhaupt_ TLS an?

Von einem Dialup-Account (T-DSL aus) bekomme ich gar keine Verbindung;
von Netcup und Hetzner aus gibt es kein TLS.

Tim Ritberg

unread,

Jul 17, 2021, 2:42:53 PM7/17/21

to

Am 17.07.21 um 19:45 schrieb Andreas Metzler:

> Hallo,
>
> leider gibt es eine nichtleere Menge von Mailservern, die nicht jedem
> anderen Server überhaupt TLS offerieren. Eurex/Deutsche Börse z.B.:
> ~$ swaks -tls -f '<>' -q ehlo -t postm...@eurex.com
> === Trying mail12.deutsche-boerse.com:25...
> === Connected to mail12.deutsche-boerse.com.
> <- 220 mail12.deutsche-boerse.com ESMTP
> -> EHLO [deleted]
> <- 250-mail12.deutsche-boerse.com
> <- 250-8BITMIME
> <- 250 SIZE 10485760
> *** Host did not advertise STARTTLS
> -> QUIT
> <- 221 mail12.deutsche-boerse.com
> === Connection closed with remote host.
>
> Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
> zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

> Da hat wohl die Presseabteilung nicht mit der IT-Abteilung gesprochen. :-D

"Aktivierung der Transport Layer Security (TLS) 1.2-
Verschlüsselung beim E-Mail-Verkehr zum
17. Dezember 2018"

https://www.deutsche-boerse-cash-market.com/resource/blob/187658/152ae7a08b3128d5aad2635be82c4a80/data/081_18d.pdf

Tim

Thomas Hochstein

unread,

Jul 17, 2021, 2:45:02 PM7/17/21

to

Andreas Metzler schrieb:

> leider gibt es eine nichtleere Menge von Mailservern, die nicht jedem
> anderen Server überhaupt TLS offerieren. Eurex/Deutsche Börse z.B.:
> ~$ swaks -tls -f '<>' -q ehlo -t postm...@eurex.com

[...]

> Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
> zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

Bieten die denn _überhaupt_ TLS an?

Von einem Dialup-Account (T-DSL) aus bekomme ich gar keine Verbindung;

von Netcup und Hetzner aus gibt es kein TLS.

-thh

Thomas Hochstein

unread,

Jul 17, 2021, 3:00:02 PM7/17/21

to

Tim Ritberg schrieb:

> "Aktivierung der Transport Layer Security (TLS) 1.2-
> Verschlüsselung beim E-Mail-Verkehr zum
> 17. Dezember 2018"

Das scheint sich allerdings nur auf den ausgehenden, nicht den
eingehenden Mailverkehr zu beziehen.

Tim Ritberg

unread,

Jul 17, 2021, 3:36:18 PM7/17/21

to

Am 17.07.21 um 20:58 schrieb Thomas Hochstein:

Der Teil ist aber auch verpflichtend.

Tim

Bastian Blank

unread,

Jul 18, 2021, 8:14:06 AM7/18/21

to

Andreas Metzler wrote:
><- 250-mail12.deutsche-boerse.com
><- 250-8BITMIME
><- 250 SIZE 10485760

> Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
> zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

Ich frage mich, was für ein Uraltserver das sein muss, der kein
RFC2034[1] unterstützt? Wenn schon eine wichtige
Kommunikationsschnittstelle ungepflegt ist, wie sieht dann der Rest aus?

Bastian

[1]: https://datatracker.ietf.org/doc/html/rfc2034

Andreas Metzler

unread,

Jul 18, 2021, 10:56:14 AM7/18/21

to

Thomas Hochstein <t...@thh.name> wrote:
> Andreas Metzler schrieb:

>> leider gibt es eine nichtleere Menge von Mailservern, die nicht jedem
>> anderen Server überhaupt TLS offerieren. Eurex/Deutsche Börse z.B.:
>> ~$ swaks -tls -f '<>' -q ehlo -t postm...@eurex.com
> [...]
>> Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
>> zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

> Bieten die denn _überhaupt_ TLS an?

[...]

Ja, die einschlägigen SMTP Server Testseiten im WWW zeigen das. Und auch
z.B. von master.debian.org aus sehe TLS support.

lg Andreas

Arno Welzel

unread,

Jul 20, 2021, 2:09:37 AM7/20/21

to

Andreas Metzler:

> Hallo,
>
> leider gibt es eine nichtleere Menge von Mailservern, die nicht jedem
> anderen Server überhaupt TLS offerieren. Eurex/Deutsche Börse z.B.:
> ~$ swaks -tls -f '<>' -q ehlo -t postm...@eurex.com
> === Trying mail12.deutsche-boerse.com:25...
> === Connected to mail12.deutsche-boerse.com.
> <- 220 mail12.deutsche-boerse.com ESMTP
> -> EHLO [deleted]
> <- 250-mail12.deutsche-boerse.com
> <- 250-8BITMIME
> <- 250 SIZE 10485760
> *** Host did not advertise STARTTLS
> -> QUIT
> <- 221 mail12.deutsche-boerse.com
> === Connection closed with remote host.
>
> Ich verstehe ja, dass man 25 für DUP user zumacht, aber das man SMTP
> zwar annimmt aber kein TLS erlaubt, ruft Stirnrunzeln hervor.

SMTP via TLS geht auch ohne STARTTLS.

--
Arno Welzel
https://arnowelzel.de

Bastian Blank

unread,

Jul 20, 2021, 5:19:15 AM7/20/21

to

Arno Welzel wrote:
> SMTP via TLS geht auch ohne STARTTLS.

Nein. SMTP S2S geht nicht ohne STARTTLS, da dort immer Port 25 benutzt
wird, was immer als Plaintext anfängt.

Bastian

Arno Welzel

unread,

Jul 20, 2021, 5:56:26 AM7/20/21

to

Bastian Blank:

Von S2S war anfangs aber nicht die Rede.