จะตรวจสอบใบรับรอง TLS ของเซิร์ฟเวอร์ SMTP ระยะไกลได้อย่างไร

เรามีเซิร์ฟเวอร์ Exchange 2007 ที่ทำงานบน Windows Server 2008 ลูกค้าของเราใช้เซิร์ฟเวอร์อีเมลของผู้ขายรายอื่น นโยบายความปลอดภัยของพวกเขาต้องการให้เราใช้ TLS ที่บังคับใช้ มันใช้งานได้ดีจนกระทั่งเมื่อไม่นานมานี้

ตอนนี้เมื่อ Exchange พยายามที่จะส่งจดหมายไปยังเซิร์ฟเวอร์ของลูกค้ามันจะบันทึกสิ่งต่อไปนี้:

การเชื่อมต่อที่ปลอดภัยไปยังโดเมนที่ปลอดภัยของโดเมน 'ourclient.com' บนตัวเชื่อมต่อ 'จดหมายภายนอกที่เป็นค่าเริ่มต้น' ไม่สามารถสร้างได้เนื่องจากการตรวจสอบใบรับรอง Transport Layer Security (TLS) สำหรับ ourclient.com ล้มเหลวด้วยสถานะ 'UntrustedRoot ติดต่อผู้ดูแลระบบของ ourclient.com เพื่อแก้ไขปัญหาหรือลบโดเมนออกจากรายการโดเมนที่ปลอดภัย

การลบ ourclient.com ออกจาก TLSSendDomainSecureList ทำให้ข้อความถูกส่งสำเร็จโดยใช้ TLS แบบฉวยโอกาส แต่นี่เป็นการแก้ปัญหาชั่วคราวที่ดีที่สุด

ลูกค้าเป็น บริษัท ระหว่างประเทศที่มีขนาดใหญ่และมีความปลอดภัยสูง ฝ่ายไอทีของเรามีการอ้างว่าไม่ทราบว่ามีการเปลี่ยนแปลงใด ๆ ในใบรับรอง TLS ฉันขอให้เขาซ้ำ ๆ เพื่อระบุอำนาจที่สร้างใบรับรองเพื่อให้ฉันสามารถแก้ไขข้อผิดพลาดในการตรวจสอบ แต่จนถึงขณะนี้เขายังไม่สามารถให้คำตอบได้ สำหรับทั้งหมดที่ฉันรู้ลูกค้าของเราสามารถแทนที่ใบรับรอง TLS ที่ถูกต้องด้วยใบรับรองจากหน่วยงานภายในองค์กร

ไม่มีใครรู้วิธีตรวจสอบใบรับรอง TLS ของเซิร์ฟเวอร์ SMTP ระยะไกลด้วยตนเองเพราะใคร ๆ ก็สามารถทำได้สำหรับใบรับรองเซิร์ฟเวอร์ HTTPS ระยะไกลในเว็บเบราว์เซอร์ อาจมีประโยชน์มากในการพิจารณาว่าใครเป็นผู้ออกใบรับรองและเปรียบเทียบข้อมูลนั้นกับรายการใบรับรองหลักที่เชื่อถือได้บนเซิร์ฟเวอร์ Exchange ของเรา

คุณสามารถใช้ OpenSSL หากคุณต้องตรวจสอบใบรับรองด้วยSTARTTLSให้ทำ

openssl s_client -connect mail.example.com:25 -starttls smtp

หรือสำหรับพอร์ต smtp ที่ปลอดภัย:

openssl s_client -connect mail.example.com:465

ฉันรู้ว่านี่เป็นคำถามเก่า แต่ก็ยังเป็นคำถามที่เกี่ยวข้องแม้กระทั่งทุกวันนี้สำหรับผู้ดูแลระบบที่ต้องการยืนยันความถูกต้องของใบรับรอง SSL บนเซิร์ฟเวอร์อีเมลของพวกเขา

คุณสามารถเยี่ยมชมhttps://www.checktls.comและทำการทดสอบได้ฟรี

หากคุณไม่มี OpenSSL คุณสามารถใช้ตัวอย่างของ Python นี้:

import smtplib
import ssl

connection = smtplib.SMTP() 
connection.connect('[hostname].')
connection.starttls()
print ssl.DER_cert_to_PEM_cert(connection.sock.getpeercert(binary_form=True))

โดยที่ [hostname] เป็นเซิร์ฟเวอร์

ที่มา: https://support.google.com/a/answer/6180220

สิ่งนี้จะดึงไลบรารี OpenSSL สำหรับคุณซึ่งทำให้การติดตั้งง่ายขึ้นเล็กน้อย