Sichere Übertragung mit TLS-Zertifikaten

Sie können TLS-Zertifikate (Transport Layer Security) verwenden, um die E‑Mails Ihrer Nutzer für die sichere Zustellung von ein- und ausgehenden E‑Mails zu verschlüsseln.

Zugriff auf TLS-Zertifikate

Sie haben zwei Möglichkeiten, auf ein- und ausgehende TLS-Zertifikate (Transport Layer Security) zuzugreifen:

  • Führen Sie den folgenden Befehl aus:

    openssl s_client -starttls smtp -connect [hostname]:25 | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p'

  • Verwenden Sie das folgende Python-Snippet:

    import smtplib
import ssl

connection = smtplib.SMTP()
connection.connect('[hostname].')
connection.starttls()
print(ssl.DER_cert_to_PEM_cert(connection.sock.getpeercert(binary_form=True)))

Geben Sie für [hostname] die entsprechenden Informationen ein:

  • Eingehendes SMTP – aspmx.l.google.com
  • Ausgehend (SMTP-Relay) – smtp-relay.gmail.com
  • Ausgehend (MSA) – smtp.gmail.com

Nach anderen Möglichkeiten suchen, auf TLS-Zertifikate zuzugreifen

Wenn Sie nach anderen Möglichkeiten suchen, auf die Zertifikate zuzugreifen, suchen Sie nach Zertifikat vom TLS-Server extrahieren.

Für TLS-Zertifikate gelten die folgenden Richtlinien:

  • Die Zertifikate sind von GlobalSign R2 CA (GS Root R2) signiert.
  • Vertrauen Sie mindestens den Zertifikaten, die unter https://pki.goog/roots.pem aufgeführt sind.
  • Die Zertifikate werden von verschiedenen Hosts gemeinsam genutzt.
  • Jeder Zertifikatssatz verfügt über ein Ablaufdatum. Neue Zertifikate werden vor diesem Datum eingeführt. Während die neuen Zertifikate bereitgestellt werden, können Sie entweder das alte oder das neue Zertifikat für eine Verbindung verwenden.
  • Bei der Kommunikation zwischen Gmail-Clients und ‑Servern werden Nachrichten über eine HTTPS-Verbindung mit 128-Bit-Verschlüsselung mithilfe von TLS 1.2 verschlüsselt. Die Verbindung ist mit AES_128_GCM verschlüsselt und authentifiziert. Der Schlüsselaustauschmechanismus ist ECDHE_RSA.
  • Die Kommunikation zwischen Gmail und Nicht-Gmail-Clients und ‑Servern wird über SSL3 bis TLS1.2 unterstützt. Der Client wählt aus einer Liste von Verschlüsselungsverfahren, Schlüsselaustausch und Bitlängen aus.
  • Unterstützte Bit sind 112/168 für DES, 128 für RC4 und 128 oder 256 für AES (Advanced Encryption Standard).